Wireshark的基本使用

下载和安装

wireshark

网址：https://www.wireshark.org/#download

pcap

除此之外还需要安装Pacp
从http://www.winpcap.org免费下载WinPcap，从http://www.tcpdump.org免费下载LinPcap

简单设置

输入

打开wireshark点击菜单栏的捕获–>选项–>使用混杂模式

混杂模式

抓取经过网卡的所有数据包，包括发往本网卡和非发往本网卡的。

非混杂模式

只抓取目标地址是本网卡的数据包，对于发往别的主机而经过本网卡的数据包忽略。

输出

选项

关于过滤器

有两种，语法不同，用法不同，场合不同
捕捉过滤器在抓抱前进行设置，决定抓取怎样的数据；显示过滤器用于过滤抓包数据，方便stream的追踪和排查

捕捉过滤器仅支持协议过滤，显示过滤器既支持协议过滤也支持内容过滤

捕获过滤器

用于决定将什么样的信息记录在捕捉结果中

显示过滤器

用于在捕捉结果中进行详细查找

统计

练习

显示过滤器

要求 (x.x.x.x对应具体环境中的IP地址)	关系（操作符或简写形式）	过滤表达式
本局域网中的网关计算机发出和接收的数据包	== 或 eq	ip.addr==x.x.x.x（网关地址）
本机发出的数据包	== 或 eq	ip.src==y.y.y.y （本机IP地址）
本机接收的数据包	== 或 eq	ip.dst==y.y.y.y （本机IP地址）
显示从Web服务器的发出的数据包	== 或 eq	tcp.srcport==80
显示IP包长度大于64字节的数据包	>= 或 ge	ip.len>= 64
显示以太网的广播帧	== 或 eq	eth==ff:ff:ff:ff:ff:ff
显示访问百度主机的HTTP协议数据包	== 或 eq	http.host==“www.baidu.com”
显示TCP的目的端口号为80的数据包	== 或 eq	tcp.dstport==80

在广泛抓包获得的报文分组中，利用组合表达式筛选显示满足条件的报文

要求 (x.x.x.x对应具体环境中的IP地址)	逻辑操作符	组合表达式
本机的数据包且TCP的FIN标记位置1	&&或and(与)	ip.addr == x.x.x.x &&tcp.flags.fin ==1（注x.x.x.x为主机IP地址）
本机发出的，且TCP的SYN标记位置1，且TCP的ACK标记位置0	&&或and(与)	ip.src== x.x.x.x && tcp.flags.syn==1 && tcp.flags.ack ==0 （注x.x.x.x为主机IP地址）
本机或网关的HTTP数据包
除本机外的ARP数据包	!或not(非)	!(ip.addr==x.x.x.x)and arp （注x.x.x.x为主机ip）

IP数据报格式