wireshark网络分析笔记

本文是阅读《wireshark网络分析就这么简单》和《wireshark网络分析的艺术》做的一些笔记。

技巧篇

1、如只要分析ip头或tcp头，可减少每个抓包数据的大小，通过设置limit each packet to的值即可（capture->options->双击抓包网卡）

2、设置包的颜色 view —> Coloring Rules

3、edit—>preferences 在此窗口单击 protocols -> tcp。比如经常要对sequence number做加减运算，不妨选中relative sequence numbers

4、保存时选择displayed要慎重考虑，最好就保存抓取的所有包，查看的时候过滤

5、可通过ctrl+f搜索关键字，比如怀疑包中有”error”一词，选中”string”单选按钮，然后在filter中输入”error”进行搜索

6、wireshark提示
- ［packet size limited during capture］ 标记这个包没有抓全
- ［tcp previous segment not captured］网络包没有抓到：一种是真的丢包了，一种是抓包工具没有抓到。看对方回复的确认ack就能判断
- ［tcp asked unseen segment］ 几乎可以忽略，只抓到了后面的ack，没有抓到前面的数据包
- ［tcp out-of-order］乱序
- ［tcp dup ack］发生乱序或丢包了
- ［tcp fast retransmission］ 发送方收到3个或以上tcp dup ack，进入快速重传
- ［tcp retransmission］发生丢包，又没有后续包触发dup ack
- ［tcp zerowindow］ win= 表示发送方当前还有多少缓冲区可以接收数据
- ［tcp window full］ 发送方已经把接收方的窗口耗尽了，不能再发送数据了
- ［tcp segment of a reassembled pdu］ 这是启用了 edit—>preferences—>protocols—>tcp 菜单里的allow sub dissector to reassemble tcp streams，在最后一个包把所有的包虚拟的集中起来，方便复制整个应用层的edu （copy—>bytes—>printable text only）
-