本文介绍了网络数据包分析的基础知识，包括以太网网卡的混杂模式和非混杂模式。重点讲解了Wireshark的重要功能，如统计捕获文件属性、已解析的地址和协议分级，以及如何使用过滤器。此外，还详细阐述了Follow TCP Stream的用途，并介绍了tshark和nc的使用，包括端口扫描、聊天服务器、反弹shell、文件传输和加密数据发送。最后提到了tcpdump在Linux上的应用。
以太网网卡混杂模式和非混杂模式：
混杂模式：不管数据帧中的目的地址是否与自己的地址匹配，都接收
非混杂模式：只接收目的地址相匹配的数据帧，以及广播数据包和组播数据包
在数据包的分析中离不开的工具就是wireshark, 这里整理一下重要的几个功能：
统计-捕获文件属性
在属性里看到数据包的一些基本属性，如：大小，长度，时间
这里关于时间需要注意，这里显示的第一个分组时间并不一定是这个时间发送的，可能是之前就已经发送了，所以这里的第一个分组的时间和最后的分组时间是我们抓包的开始和结束，并不是这个数据包发送的开始和结束。
统计-已解析的地址
这个功能会将数据包中的host和port进行整理展示，如下图所示：
统计-协议分级
这个可以让非常清楚的看到各个协议在整个数据包中占用的比例，这样对于分析数据包是非常有帮助的。如上图中，整个数据包主要是TCP的数据包，在TCP下面可以看到主要是HTTP。
过滤器
wireshark 统计中的协议分级是非常重要的，可以很清楚的看到这次捕获的数据主要是什么类型的。
常用的过滤方法：
ip.src == 127.0.0.1 and tcp.port == 8080
ip.src_host == 192.168.100.108
ip.src == 192.168.199.228 and ip.dst eq 192.168.199.228
如果没有指明协议，默认抓取所有协议数据, 如果没有指明来源或目的地址，默认使用src or dst 。
逻辑运算：not and or ,
最低0.47元/天 解锁文章
1303
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
