wireshark抓包工具

了解使用wireshark抓包工具

分类: 基础类

一、简介

　　1、什么是wireshark

　　　　百度：

　　　　Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。

　　　　在过去，网络封包分析软件是非常昂贵的，或是专门属于盈利用的软件。Ethereal的出现改变了这一切。在GNUGPL通用许可证的保障范围底下，使用者可以以免费的代价取得软件与其源代码，并拥有针对其源代码修改及客制化的权利。Ethereal是目前全世界最广泛的网络封包分析软件之一。

　　　　开源软件，用GPL协议发行，所以可以免费在任意数量机器上使用

　　2、主要应用

　　　　帮助管理员解决网络问题

　　　　帮助安全工程师用来检测安全隐患

　　　　开发人员用来测试协议执行情况

　　　　用来学习网络协议

　　　　等等。

　　3、特性

　　　　跨平台支持windows/unix平台

　　　　在接口实时抓包

　　　　能详细显示包的详细协议信息

　　　　可以打开/保存捕捉的包

　　　　可以导入导出其他程序支持的包数据格式

　　　　可以通过多种方式过滤包

　　　　多种方式查找包

　　　　通过过滤以多种彩色显示包

　　　　创建多种统计分析。。。

　　4、多种网络接口

　　　　可以捕捉多种网络接口，甚至无线局域网接口

　　5、哪些事情不能做？

　　　　不能用作入侵检测系统，不会处理网络事务，仅是监视网络，不会发送网络包或做其他交互的事情，但可以做名称解析

二、使用wireshark

　　1、打开后看到的第一页面，这里就称为初始页面吧

　　2、怎么样开始抓包

　　　　通过捕获选项

　　　　上面的初始页面，有两个入口可以点击一个是在main工具栏，一个是中间位置的captrue options

　　　　点击captrue options图标》弹出网卡如多网卡指定抓包网卡》开始抓包

　　3、wireshark窗口的介绍

　　　　wireshark主要分为7个界面

　　　　主菜单

　　　　　　菜单页面包括file、edit、view、go、capture、analyze、statistics、help

　　　　main工具栏

　　　　　　一些快捷导航，比如capture，开始，停止等等

　　　　过滤器

　　　　　　指定需要捕获所需要的条件，比如源地址/目标地址

　　　　封包列表

　　　　　　已经捕获到的封包，有源地址/目标地址，端口；颜色的不同代表不同的

　　　　封包详情

　　　　　　显示封包中的各字段

　　　　16禁止数据

　　　　　　顾名思义

　　　　地址栏

　　　　　　地址栏及一些杂项

　　4、过滤条件

　　　　通过集中表达式规则进行过滤

　　　　1）protocols

　　　　　　比如tcp,ether,fddi,ip,arp,rarp,decnet,lat,sca,moprc,mopdl,tcp and udp

　　　　2）direction

　　　　　　src,dst,src and dst,src or dst（不指定就是双向）

　　　　3）host（新版，老版本没有host）

　　　　　　net,port,host,portrange

　　　　4）logical openrations逻辑运算

　　　　　　and,or,not（下面有官方实例）

　　5、过滤关系

　　　　1）组合表达式

　　　　Table 6.6. Display Filter Logical Operations

English	C-like	Description and example
and	&&	Logical AND. `ip.src==10.0.0.5 and tcp.flags.fin`
or	\|\|	Logical OR. `ip.scr==10.0.0.5 or ip.src==192.1.1.1`
xor	^^	Logical XOR. `tr.dst[0:3] == 0.6.29 xor tr.src[0:3] == 0.6.29`
not	!	Logical NOT. `not llc`
[…]		See “Slice Operator” below.
in		See “Membership Operator” below.

　　　　2）运算符号

　　　　　　参考官方https://www.wireshark.org/docs/wsug_html/#DispCompOps

　　　Table 6.5. Display Filter comparison operators

English	C-like	Description and example
eq	==	Equal. `ip.src==10.0.0.5`
ne	!=	Not equal. `ip.src!=10.0.0.5`
gt	>	Greater than. `frame.len > 10`
lt	<	Less than. `frame.len < 128`
ge	>=	Greater than or equal to. `frame.len ge 0x100`
le	<=	Less than or equal to. `frame.len ⇐ 0x20`
contains		Protocol, field or slice contains a value. `sip.To contains "a1762"`
matches	~	Protocol or text field match Perl regualar expression. `http.host matches "acme\.(org\|com\|net)"`
bitwise_and	&	Compare bit field value. `tcp.flags & 0x02`