Wireshark基本使用

最新推荐文章于 2024-06-18 02:31:54 发布

一生爱Dori

最新推荐文章于 2024-06-18 02:31:54 发布

阅读量784

点赞数 1

文章标签： wireshark 网络服务器

本文链接：https://blog.csdn.net/qq_58672257/article/details/130749845

版权

Wireshark基本使用

打开wireshark可以看到多种捕获选项，根据不同的需求选择合适的捕获选项（刚开始学习的时候没有分辨好不同捕获选择项之间的区别，一味的跟着选择wlan，结果自己在虚拟机上搭建的靶机完全抓不到包，当时居然以为是wireshark或者自己搭建的靶机的问题，完全没有想过是不是自己捕获选项没有选择正确，耽误了大量的时间，后来用phpstudy起本地靶机再次出现这个问题时就很轻松解决。）

在这里插入图片描述

选择好捕获选项之后接下来wireshark就开始自动抓包了

在这里插入图片描述

上边的数据包先不做分析，先看下边的封包详细信息。

从上到下依次是：

物理层的数据帧详细概要（包括：接口id，捕获的时间和日期，帧序号，帧长度，是否做了标记，是否被忽略，封装的协议结构层次等各种信息。）

在这里插入图片描述

数据链路层以太网帧的头部信息：主要有目标mac地址，源mac地址

在这里插入图片描述

网络层IP头部包信息：主要包括互联网协议，源IP地址，目标ip地址

传输层数据包头部信息：主要包括源端口，目标端口。

以上信息感觉对于初学者的我来说没有什么用，现在的我一般看的只有应用层的相关内容，接下来以应用层的http协议进行分析。

在这里插入图片描述

（报文分析）从上往下看：GET为请求方式后边跟请求的内容，Host后边为请求的主机名，user-agent为发送请求的操作系统、以及浏览器信息，Referer为客户端可识别的内容类型列表，用于指定客户端接受哪些类型的信息判断来源页面。

在这里插入图片描述

响应报文：从上往下看，200表示客户端请求成功，server服务器信息，content-type告诉客户端实际返回的内容类型，line-based test data:text/html基于行的文本数据。

东西还是挺多的吧，但还是感觉写不出来。

Wireshark使用中经常用到的协议分析

Arp协议

地址解析协议，即ARP（Address Resolution Protocol），是根据IP地址获取物理地址的一个TCP/IP协议。主机发送信息时将包含目标IP地址的ARP请求广播到局域网络上的所有主机，并接收返回消息，以此确定目标的物理地址；收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。地址解析协议是建立在网络中各个主机互相信任的基础上的，局域网络上的主机可以自主发送ARP应答消息，其他主机收到应答报文时不会检测该报文的真实性就会将其记入本机ARP缓存；由此攻击者就可以向某一主机发送伪ARP应答报文，使其发送的信息无法到达预期的主机或到达错误的主机，这就构成了一个ARP欺骗。ARP命令可用于查询本机ARP缓存中IP地址和MAC地址的对应关系、添加或删除静态对应关系等。相关协议有RARP、代理ARP。NDP用于在IPv6中代替地址解析协议。

详细信息：彻底搞懂系列之：ARP协议 - 知乎 (zhihu.com)

ICMP协议

ICMP是 Internet Control Message Protocol 的缩写，即互联网控制消息协议。它是互联网协议族的核心协议之一。它用于 TCP/IP 网络中发送控制消息，提供可能发生在通信环境中的各种问题反馈，通过这些信息，使网络管理者可以对所发生的问题作出诊断，然后采取适当的措施解决问题。虽然 ICMP 是网络层协议，但是它不像 IP 协议和 ARP 协议一样直接传递给数据链路层，而是先封装成 IP 数据包然后再传递给数据链路层。所以在 IP 数据包中如果协议类型字段的值是 1 的话，就表示 IP 数据是 ICMP 报文。IP 数据包就是靠这个协议类型字段来区分不同的数据包的。在 IP 通信中如果某个包因为未知原因没有到达目的地址，那么这个具体的原因就是由 ICMP 负责告知。而 ICMP 协议的类型定义中就清楚的描述了各种报文的含义。

详细信息：深入理解ICMP协议 - 知乎 (zhihu.com)

TCP 协议

TCP 是面向连接的运输层协议。应用程序在使用 TCP 协议之前，必须先建立 TCP 连接。在传送数据完毕后，必须释放已经建立的 TCP 连接，每一条 TCP 连接只能有两个端点，每一条 TCP 连接只能是点对点的(一对一)，TCP 提供可靠交付的服务。通过 TCP 连接传送的数据，无差错、不丢失、不重复，并且按序到达，TCP 提供全双工通信。TCP 允许通信双方的应用进程在任何时候都能发送数据。TCP 连接的两端都设有发送缓存和接受缓存，用来临时存放双向通信的数据，面向字节流。TCP 中的“流”指的是流入到进程或从进程流出的字节序列。

详细信息：TCP协议详解 - 知乎 (zhihu.com)

Udp协议

UDP（UserDatagramProtocol）是一个简单的面向消息的传输层协议，尽管UDP提供标头和有效负载的完整性验证（通过校验和），但它不保证向上层协议提供消息传递，并且UDP层在发送后不会保留UDP 消息的状态。因此，UDP有时被称为不可靠的数据报协议。如果需要传输可靠性，则必须在用户应用程序中实现。

UDP使用具有最小协议机制的简单无连接通信模型。UDP提供数据完整性的校验和，以及用于在数据报的源和目标寻址不同函数的端口号。它没有握手对话，因此将用户的程序暴露在底层网络的任何不可靠的方面。如果在网络接口级别需要纠错功能，应用程序可以使用为此目的设计的传输控制协议（TCP）。

详细信息：UDP协议详解 - 知乎 (zhihu.com)

DNS 协议

详细信息：超详细 DNS 协议解析 - 知乎 (zhihu.com)

HTTP 协议

HTTP协议(超文本传输协议HyperText Transfer Protocol)，它是基于TCP协议的应用层传输协议，简单来说就是客户端和服务端进行数据传输的一种规则。HTTP 是一种无状态 (stateless) 协议, HTTP协议本身不会对发送过的请求和相应的通信状态进行持久化处理。这样做的目的是为了保持HTTP协议的简单性，从而能够快速处理大量的事务, 提高效率。

然而，在许多应用场景中，我们需要保持用户登录的状态或记录用户购物车中的商品。由于HTTP是无状态协议，所以必须引入一些技术来记录管理状态，例如Cookie。

详细信息：深入理解HTTP协议 - 知乎 (zhihu.com)

FTP 协议

FTP(File Transfer Protocol)：是应用层的一个文件传输协议。主要作用是在服务器和客户端之间实现文件的传输和共享。FTP协议运行在TCP连接上，保证了文件传输的可靠性。在传输时，传输双方的操作系统、磁盘文件系统类型可以不同。FTP协议：允许TCP/IP网络上的两台计算机之间进行文件传输。而FTP服务是基于FTP协议的文件传输服务。工作时，一台计算机上运行FTP客户端应用程序，另一台计算机上需要运行FTP服务器端程序。只有拥有了FTP服务，客户端才能进行文件传输。

详细信息：计算机网络基础知识——【FTP协议】概述篇 - 知乎 (zhihu.com)