Wireshark抓包学习

所用软件

Wireshark

点击所要抓包的网卡，这里我选择的是WLAN网卡，双击“WLAN"即可，如下

此时显示已启动抓包；
如果需要抓包某一特定的操作，例如，我要访问百度，即可打开Cmder(功能与windows下的自带命令行工具Cmd一样，输入如下命令：

ping baidu.com

再返回Wireshark抓包界面，即可抓取相关数据包：
当数据包过多，可以在上方菜单栏设置过滤条件，此时百度的IP地址为39.156.69.79，即可输入过滤条件为：

ip.addr == 39.156.69.79

对于该页面的主要三个区间具体如下：

在数据包详细信息区间里， Ethernet 帧的结构如下：
Frame: 物理层的数据帧
Ethernet II: 数据链路层以太网帧头部信息
Internet Protocol Version 4: 网络层IP包头部信息
Transmission Control Protocol: 传输层T的数据段头部信
Hypertext Transfer Protocol: 应用层的信息

以上就是对于抓包分析软件Wireshark的简单应用。

数据链路层

操作一

熟悉 Ethernet 帧结构使用 Wireshark 任意进行抓包。
依旧是刚才ping 百度所抓取的数据包，把数据包详细信息区间里的信息详细展开：

Frame//物理层

Ethernet//数据链路层

IPV4//网络层

ICMP//传输层，ICMP协议是TCP协议里的一个子协议

由上得出Frame中：

源MAC地址为5c:ea:1d:25:b3:07
目的MAC地址为00:74:9c:9f:40:13
类型为IPV4,0x00000800
字段Frame number为189
字节长度Frame Length为74bytes(592 bits)

操作一相关问题

Wireshark 展现给我们的帧中为什么没有校验字段？
回答：
Wireshark 抓包前，在物理层网卡已经去掉了一些之前几层加的东西，比如前导同步码，FCS等等，之后利用校验码CRC校验，正确时才会进行下一步操作，这时才开始进行抓包，因此，抓包软件抓到的是去掉前导同步码、FCS之外的数据，没有校验字段。

操作二

了解子网内/外通信时的 MAC 地址。
1、ping 一下处于同一子网里的计算机，进行过滤用 Wireshark 抓包（可加过滤条件），记录发出帧的目的 MAC 地址以及返回帧的源 MAC 地址（这是谁的地址？）