这次我们来学习下Wireshark

一、Wireshark简介

Wireshark是一款功能强大的网络协议分析工具，可以实时捕获和分析网络数据包。它支持多种网络协议，广泛用于网络故障排除、性能分析和安全分析。

二、Wireshark的安装

在Kali Linux中安装

Wireshark通常已经预装在Kali Linux中。如果没有，可以使用以下命令进行安装：

sudo apt-get update
sudo apt-get install wireshark

在Windows中安装

可以从Wireshark官方网站下载最新版本的Wireshark并按照安装向导进行安装：Wireshark下载页面

三、Wireshark的基本用法

1. 启动Wireshark

在Kali Linux中，可以在终端中输入以下命令启动Wireshark：

wireshark

在Windows中，安装完成后可以通过开始菜单找到Wireshark并启动。

2. 选择网络接口

启动Wireshark后，会显示主界面。在“Capture”栏中，选择要监听的网络接口。接口通常以以太网卡、无线网卡或环回接口的名称列出。

3. 开始捕获数据包

选择网络接口后，点击“Start”按钮开始捕获数据包。Wireshark将开始显示捕获到的数据包。

4. 停止捕获数据包

点击“Stop”按钮停止捕获数据包。捕获的数据包将保留在Wireshark界面中供分析使用。

5. 使用过滤器

Wireshark提供了强大的过滤功能，可以通过输入过滤表达式来筛选特定的数据包。例如：

• 过滤HTTP流量：http
• 过滤TCP端口80的数据包：tcp.port == 80
• 过滤指定IP地址的数据包：ip.addr == 192.168.1.1

四、Wireshark的高级用法

1. 数据包分析

点击某个数据包可以在下方的详细信息窗口中查看该数据包的具体内容，包括链路层、网络层和传输层的详细信息。

2. 追踪TCP流

在捕获的TCP数据包上点击右键，选择“Follow” -> “TCP Stream”，可以看到整个TCP会话的内容。这对分析HTTP、FTP等基于TCP的协议非常有用。

3. 使用颜色规则

Wireshark可以根据数据包的类型和状态自动为数据包着色，以便于快速识别。例如，绿色表示TCP数据包，蓝色表示DNS数据包。可以在“View” -> “Coloring Rules”中查看和编辑这些规则。

4. 保存和导出捕获的数据包

可以将捕获的数据包保存为文件，以便后续分析。在“File”菜单中选择“Save As”即可。此外，还可以将数据包导出为不同的格式，如CSV、XML等。

五、Wireshark实战案例

案例一：分析HTTP流量

1. 启动Wireshark并选择网络接口： 启动Wireshark并选择用于捕获流量的网络接口。

2. 开始捕获数据包： 点击“Start”按钮开始捕获数据包。

3. 生成HTTP流量： 打开浏览器，访问一个HTTP网站（如：http://example.com）。

4. 使用过滤器筛选HTTP流量： 在过滤器栏中输入http，然后按Enter键。Wireshark将只显示HTTP流量的数据包。

5. 分析HTTP请求和响应： 点击一个HTTP请求数据包，可以在详细信息窗口中查看HTTP请求头、URL和其他详细信息。类似地，点击HTTP响应数据包可以查看响应头和内容。

案例二：检测ARP欺骗攻击

1. 启动Wireshark并选择网络接口： 启动Wireshark并选择用于捕获流量的网络接口。

2. 开始捕获数据包： 点击“Start”按钮开始捕获数据包。

3. 使用过滤器筛选ARP流量： 在过滤器栏中输入arp，然后按Enter键。Wireshark将只显示ARP流量的数据包。

4. 分析ARP流量： 正常情况下，每个IP地址对应一个唯一的MAC地址。如果在捕获的数据包中发现同一个IP地址对应多个不同的MAC地址，可能是ARP欺骗攻击。

5. 验证ARP欺骗攻击： 可以使用Wireshark的“Statistics” -> “Resolved Addresses”功能，查看IP地址与MAC地址的对应关系，进一步验证ARP欺骗攻击的存在。

案例三：DNS请求分析

1. 启动Wireshark并选择网络接口： 启动Wireshark并选择用于捕获流量的网络接口。

2. 开始捕获数据包： 点击“Start”按钮开始捕获数据包。

3. 使用过滤器筛选DNS流量： 在过滤器栏中输入dns，然后按Enter键。Wireshark将只显示DNS流量的数据包。

4. 分析DNS请求和响应： 点击一个DNS请求数据包，可以在详细信息窗口中查看DNS请求的域名和类型。类似地，点击DNS响应数据包可以查看响应的IP地址和TTL等信息。

六、总结

Wireshark是一个功能强大的网络分析工具，适用于各种网络故障排除和安全分析任务。通过掌握基本和高级用法，你可以深入了解网络流量和协议，检测并解决各种网络问题。在使用Wireshark时，请确保在合法授权的情况下进行捕获和分析。