Wireshark是一款功能非常強大的抓包工具，軟件擁有強大的網絡捕獲和解碼技術，可以幫助我們一鍵輕松擷取網絡封包。我們可以通過Wireshark來對網絡傳輸發送與接收的數據包進行截獲、重發、編輯、轉存等操作，方便網絡管理人員用來診斷網絡問題和檢測安全漏洞，有需要的朋友趕緊來KK下載站下載使用吧！


 

Wireshark功能介紹

確定 Wireshark 的位置
如果沒有一個正確的位置，啟動Wireshark后會花費很長的時間捕獲一些與自己無關的數據。

選擇捕獲接口
一般都是選擇連接到Internet網絡的接口，這樣才可以捕獲到與網絡相關的數據。否則，捕獲到的其它數據對自己也沒有任何幫助。

使用捕獲過濾器
通過設置捕獲過濾器，可以避免產生過大的捕獲文件。這樣用戶在分析數據時，也不會受其它數據干擾。而且，還可以為用戶節約大量的時間。

使用顯示過濾器
通常使用捕獲過濾器過濾后的數據，往往還是很復雜。為了使過濾的數據包再更細致，此時使用顯示過濾器進行過濾。

使用著色規則
通常使用顯示過濾器過濾后的數據，都是有用的數據包。如果想更加突出的顯示某個會話，可以使用著色規則高亮顯示。

構建圖表
如果用戶想要更明顯的看出一個網絡中數據的變化情況，使用圖表的形式可以很方便的展現數據分布情況。

重組數據
Wireshark的重組功能，可以重組一個會話中不同數據包的信息，或者是一個重組一個完整的圖片或文件。由于傳輸的文件往往較大，所以信息分布在多個數據包中。為了能夠查看到整個圖片或文件，這時候就需要使用重組數據的方法來實現。
 

Wireshark軟件特色

1、支持的操作系統
軟件對主流的操作系統都提供了支持,其中包括Windows、MacOSX以及基于Linux的系統。
2、使用捕獲過濾器
通過設置捕獲過濾器，可以避免產生過大的捕獲文件。這樣用戶在分析數據時，也不會受其它數據干擾。而且，還可以為用戶節約大量的時間。
3、選擇捕獲接口
一般都是選擇連接到Internet網絡的接口，這樣才可以捕獲到與網絡相關的數據。否則，捕獲到的其它數據對自己也沒有任何幫助。
4、重組數據
Wireshark的重組功能，可以重組一個會話中不同數據包的信息，或者是一個重組一個完整的圖片或文件。由于傳輸的文件往往較大，所以信息分布在多個數據包中。為了能夠查看到整個圖片或文件，這時候就需要使用重組數據的方法來實現。
5、免費
由于軟件是開源的,它在價格上面是無以匹敵的，軟件是遵循GPL協議發布的自由軟件,任何人無論出于私人還是商業目的,都可以下載并且使用。
6、用戶友好度
軟件的界面是數據包嗅探工具中最容易理解的工具之一。基于GUI,并提供了清晰的菜單欄和簡明的布局


 

Wireshark使用說明

1、功能
wireshark能獲取HTTP，也能獲取HTTPS，但是不能解密HTTPS，所以wireshark看不懂HTTPS中的內容，總結，如果是處理HTTP,HTTPS 還是用Fiddler, 其他協議比如TCP,UDP 就用wireshark.
2、選擇網卡
wireshark是捕獲機器上的某一塊網卡的網絡包，當你的機器上有多塊網卡的時候，你需要選擇一個網卡。

3、窗口介紹：
WireShark 主要分為這幾個界面
3.1 Display Filter(顯示過濾器)， 用于過濾
3.2 Packet List Pane(封包列表)， 顯示捕獲到的封包， 有源地址和目標地址，端口號。 顏色不同，代表不同的類型
3.3 Packet Details Pane(封包詳細信息), 顯示封包中的字段
3.4 Dissector Pane(16進制數據)
3.5 Miscellanous(地址欄，雜項)

如何捕獲數據包

4、過濾器
使用過濾是非常重要的， 初學者使用wireshark時，將會得到大量的冗余信息，在幾千甚至幾萬條記錄中，以至于很難找到自己需要的部分。搞得暈頭轉向。過濾器會幫助我們在大量的數據中迅速找到我們需要的信息。
4.1 過濾器有兩種，一種是顯示過濾器，就是主界面上那個，用來在捕獲的記錄中找到所需要的記錄，一種是捕獲過濾器，用來過濾捕獲的封包，以免捕獲太多的記錄。在Capture -> Capture Filters 中設置，保存過濾。
4.2 新建過濾器，在Filter欄上，填好Filter的表達式后，點擊Save按鈕， 取個名字。比如"Filter 10",
4.3 過濾表達式的規則
4.3.1 協議過濾
比如TCP，只顯示TCP協議。
4.3.2 IP 過濾
比如 ip.src =192.168.1.102 顯示源地址為192.168.1.102，
ip.dst=192.168.1.102, 目標地址為192.168.1.102
4.3.3 端口過濾
tcp.port =80, 端口為80的
tcp.srcport = 80, 只顯示TCP協議的愿端口為80的。
4.3.4 Http模式過濾
http.request.method==“GET”, 只顯示HTTP GET方法的。
4.3.5 邏輯運算符為 AND/ OR

5、捕獲結果分析
5.1 著色規則
在菜單“視圖-著色規則”下查看

5.2 數據包結構
第一行：數據包整體概述，
第二行：鏈路層詳細信息，主要的是雙方的mac地址。
第三行：網絡層詳細信息，主要的是雙方的IP地址。
第四行：傳輸層的詳細信息，主要的是雙方的端口號。

5.3 tcp數據包
標志位對應的功能：
URG：緊急指針（ urgent pointer）有效。
ACK：確認序號有效。
PSH：接收方應該盡快將這個報文段交給應用層。
RST：重建連接。
SYN：同步序號用來發起一個連接。
FIN：發端完成發送任務。
窗口大小：用于流量控制。
檢驗和：檢驗和覆蓋了整個的 TCP報文段： TCP首部和TCP數據，與udp相似需要計算偽首部。

tcp數據包結構及在wireshark中的位置

6、Tcp三次握手分析
客戶端->服務器：發送標識為SYN=1、隨機產生的客戶端序號seq（發送序號）
服務器->客戶端：發送標識為SYN=1、ACK=1、第一步產生的客戶端序號seq+1（確認序號）、隨機產生的服務端序號seq
客戶端->服務器：第一步產生的客戶端序號seq+1（發送序號）、第二步產生的服務端序號seq+1（確認序號）、ACK=1

三次數據包
其中[SYN]意為SYN位為1（如果沒有，則表示為0）。同理如果[]中有ACK，表示ACK位為1

6.1 第一次握手數據包
客戶端發送一個TCP，標志位為SYN，序列號為0， 代表客戶端請求建立連接。 如下圖

6.2 第二次握手的數據包
服務器發回確認包, 標志位為 SYN,ACK. 將確認序號(Acknowledgement Number)設置為客戶的I S N加1以.即0+1=1, 如下圖

6.3 第三次握手的數據包
客戶端再次發送確認包(ACK) SYN標志位為0,ACK標志位為1.并且把服務器發來ACK的序號字段+1,放在確定字段中發送給對方.并且在數據段放寫ISN的+1, 如下圖:

就這樣通過了TCP三次握手，建立了連接

過濾命令

1、過濾源ip、目的ip
在wireshark的過濾規則框Filter中輸入過濾條件。如查找目的地址為192.168.101.8的包，ip.dst==192.168.101.8；查找源地址為ip.src==1.1.1.1
2、端口過濾
如過濾80端口，在Filter中輸入，tcp.port==80，這條規則是把源端口和目的端口為80的都過濾出來。使用tcp.dstport==80只過濾目的端口為80的，tcp.srcport==80只過濾源端口為80的包
3、協議過濾
直接在Filter框中直接輸入協議名即可，如過濾HTTP的協議
4、http模式過濾
如過濾get包，http.request.method=="GET",過濾post包，http.request.method=="POST"
5、連接符and的使用
過濾兩種條件時，使用and連接，如過濾ip為192.168.101.8并且為http協議的，ip.src==192.168.101.8 and http