抓包工具之Wireshark

Wireshark简介

Wireshark是一个开源的网络封包分析软件，可以截取各种网络封包，但是Wireshark只能查看封包，而不能修改封包的内容，或者发送封包。

Wireshark界面

1、数据详细区面板内容：
Frame：物理层的数据帧概况
Ethernet II：数据链路层以太网帧头部信息
Internet Protocol Version 4：互联网层IP包头部信息
Transmission Control Protocol：传输层T的数据段头部信息，此处是TCP
Hypertext Transfer Protocol：应用层的信息，此处是HTTP协议

2、查看详细的HTTP消息

TCP三次握手

1、第一次握手数据包

客户端发送一个TCP，标志位为SYN，序列号为0， 代表客户端请求建立连接。
2、第二次握手的数据包

服务器发回确认包, 标志位为 SYN，ACK。将确认序号(Acknowledgement Number)设置为1 。
3、第三次握手的数据包

客户端再次发送确认包(ACK) SYN标志位为0，ACK标志位为1。并且把服务器发来ACK的序号字段+1，放在确定字段中发送给对方。并且在数据段放写ISN的+1。

Wireshark抓包过滤规则

1、IP地址过滤

ip.addr == 192.168.12.34
#过滤出此IP地址的数据包，包含源IP和目的IP

ip.src == 192.168.12.34
#过滤出源IP的数据包

ip.dst == 192.168.12.34
#过滤出目的IP的数据包

2、端口过滤

tcp.port == 80
#过滤出tcp协议端口为80的数据包

tcp.dstport == 80
#过滤出tcp协议目的端口为80的数据包

tcp.port == 80
#过滤出tcp协议源端口为80的数据包

3、协议筛选

UDP、TCP、RTP、HTTP等。
HTTP协议过滤GET和POST请求：
http.request.methon == GET
http.request.methon == POST
#GET、POST大写

4、MAC地址过滤

eth.addr == 00:12:7B:9A:11:11
eth.src == 00:12:7B:9A:11:11
eth.dst == 00:12:7B:9A:11:11

5、逻辑组合

&& ------ 逻辑与
|| ------- 逻辑或
！ -------逻辑非