Wieshark簡介

wireshark是一個免費(fèi)開源的網(wǎng)絡(luò)數(shù)據(jù)包分析軟件，功能十分強(qiáng)大?？梢越厝「鞣N網(wǎng)絡(luò)數(shù)據(jù)包，顯示網(wǎng)絡(luò)數(shù)據(jù)包的詳細(xì)信息。

wireshark頁面介紹

1.開始頁面

2.wireshark是捕獲機(jī)器上的一塊網(wǎng)卡的網(wǎng)絡(luò)包，當(dāng)你有多塊網(wǎng)卡時，選擇其中的一個。

當(dāng)你只有一塊網(wǎng)卡時，選擇網(wǎng)卡eth0。（默認(rèn)選擇網(wǎng)卡后自動抓包）

wireshark窗口介紹

wireshark主要分為5個界面

1.Display Filter(顯示過濾器) ，用于過濾

2.Packet list Pane(數(shù)據(jù)包列表)，顯示捕捉到的數(shù)據(jù)包，有效IP和目標(biāo)IP，端口號

3.Packet Details Pane(數(shù)據(jù)包詳細(xì)信息) ，顯示數(shù)據(jù)包中的字段

4.Dissector Pane(16進(jìn)制數(shù)據(jù))

5.Miscekkanous(地址欄)

wireshark過濾器

掌握過濾技能是非常重要的，初學(xué)者使用wireshark進(jìn)行抓包時，由于抓到的數(shù)據(jù)包的種類繁多，很難找到自己需要的部分。

過濾器會幫助我們迅速找到我們需要的信息。

過濾器有兩種。

一種是顯示過濾器，，用來在我們捕獲的數(shù)據(jù)包中找到我們需要的信息。（圖二）

另一種是捕獲過濾器，用來過濾捕獲的數(shù)據(jù)包。在開始頁面Capture中 （圖一）

過濾表達(dá)式的規(guī)則

1.協(xié)議過濾

比如tcp，只顯示捕獲TCP協(xié)議

2.IP過濾

比如 ip.src ==10.1.1.1 只顯示源地址為10.1.1.1的數(shù)據(jù)包

ip.dst== 10.1.1.1 只顯示目的地址為10.1.1.1的數(shù)據(jù)包

3.端口過濾

tcp.port == 80 只顯示目的地址80端口的TCP數(shù)據(jù)包

tcp.srcport == 80 只顯示源地址80端口的TCP數(shù)據(jù)包

4.http模式過濾

http.request.method == "GET" ,只顯示HTTP GET方法。

5.邏輯運(yùn)算符為 AND/OR（不分大小寫）

ip.dst ==10.1.1.1 and port == 80 只顯示目標(biāo)IP為10.1.1.1且端口為80的數(shù)據(jù)包

數(shù)據(jù)包列表

數(shù)據(jù)包列表的面板中顯示，編號，時間，源地址，目標(biāo)地址，協(xié)議，長度，以及數(shù)據(jù)包信息。從圖中你可以看到不同的協(xié)議不同顏色，并且協(xié)議連接不成功和成功顏色也不一樣。

數(shù)據(jù)包詳細(xì)信息

在這個面板中，我們可以查看協(xié)議中的任意一個字段。

各行信息分別為

Frame： 物理層的數(shù)據(jù)幀概況

Ethernet II： 數(shù)據(jù)鏈路層以及以太網(wǎng)頭部信息

Internet Protocol Version 4： 互聯(lián)網(wǎng)Ip包頭部信息

Transmission Control Protocol ：傳輸層T的數(shù)據(jù)段頭部信息，此處是TCP

Hypertext Transfer Protocol 應(yīng)用層信息，此處是HTTP協(xié)議

數(shù)據(jù)包具體內(nèi)容（本次用的例子TCP協(xié)議）

4.分析三次TCP握手過程

首先用wireshark進(jìn)行抓包，下圖是我用wireshark抓到的TCP三次握手的數(shù)據(jù)包。

（雙擊抓到的包就可以看到詳細(xì)信息或者在頁面第二個方框中也可以看到詳細(xì)信息）

第一次握手?jǐn)?shù)據(jù)包

客戶端發(fā)送一個TCP數(shù)據(jù)包，標(biāo)志位為SYN，序列號為0，代表客戶端請求建立連接。如下圖

第二次握手?jǐn)?shù)據(jù)包

服務(wù)器發(fā)揮確認(rèn)包，標(biāo)志位為SYN，ACK，將確認(rèn)序號（Acknowledgement Number）設(shè)置為客戶的ISN+1，如下圖

第三次握手的數(shù)據(jù)包

客戶端再次發(fā)送確認(rèn)包（ACK），SYN標(biāo)志位為0，ACK標(biāo)志位1，并且把服務(wù)器發(fā)來ACK的序號字段+1，放在確認(rèn)字段中發(fā)送給對方，并且在數(shù)據(jù)段中的ISN+1，如下圖

這樣就完成了TCP三次握手，建立了連接！

審核編輯：劉清