Wireshark简介
Wireshark是一个开源的网络封包分析软件,可以截取各种网络封包,但是Wireshark只能查看封包,而不能修改封包的内容,或者发送封包。
Wireshark界面
1、数据详细区面板内容:
Frame:物理层的数据帧概况
Ethernet II:数据链路层以太网帧头部信息
Internet Protocol Version 4:互联网层IP包头部信息
Transmission Control Protocol:传输层T的数据段头部信息,此处是TCP
Hypertext Transfer Protocol:应用层的信息,此处是HTTP协议
2、查看详细的HTTP消息
TCP三次握手
1、第一次握手数据包
客户端发送一个TCP,标志位为SYN,序列号为0, 代表客户端请求建立连接。
2、第二次握手的数据包
服务器发回确认包, 标志位为 SYN,ACK。将确认序号(Acknowledgement Number)设置为1 。
3、第三次握手的数据包
客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1。并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方。并且在数据段放写ISN的+1。
Wireshark抓包过滤规则
1、IP地址过滤
ip.addr == 192.168.12.34
#过滤出此IP地址的数据包,包含源IP和目的IP
ip.src == 192.168.12.34
#过滤出源IP的数据包
ip.dst == 192.168.12.34
#过滤出目的IP的数据包
2、端口过滤
tcp.port == 80
#过滤出tcp协议端口为80的数据包
tcp.dstport == 80
#过滤出tcp协议目的端口为80的数据包
tcp.port == 80
#过滤出tcp协议源端口为80的数据包
3、协议筛选
UDP、TCP、RTP、HTTP等。
HTTP协议过滤GET和POST请求:
http.request.methon == GET
http.request.methon == POST
#GET、POST大写
4、MAC地址过滤
eth.addr == 00:12:7B:9A:11:11
eth.src == 00:12:7B:9A:11:11
eth.dst == 00:12:7B:9A:11:11
5、逻辑组合
&& ------ 逻辑与
|| ------- 逻辑或
! -------逻辑非