title: wireshark抓包老手应用教程
categories:[简略抓包]
tags:[wireshark]
date: 2022/04/29
<div align = 'right'>作者：hackett</div>
<div align = 'right'>微信公众号：加班猿</div>
wireshark抓包老手应用教程
Wireshark是十分风行的网络封包剖析软件，能够截取各种网络数据包，并显示数据包详细信息。罕用于开发测试过程各种问题定位。本文次要内容包含：
1、Wireshark软件下载和装置以及Wireshark主界面介绍。
2、WireShark简略抓包示例。通过该例子学会怎么抓包以及如何简略查看剖析数据包内容。
3、Wireshark过滤器应用。过滤器蕴含两种类型，一种是抓包过滤器，就是抓取前设置过滤规定。另外一种是显示过滤器，就是在数据包剖析时进行过滤数据应用。通过过滤器能够筛选出想要剖析的内容。包含依照协定过滤、端口和主机名过滤、数据包内容过滤。具体规定和实例能够查看注释。
Wireshark软件装置
软件下载门路：wireshark官网。依照零碎版本抉择下载，下载实现后，依照软件提醒一路Next装置。
阐明：如果你是Win10零碎，装置实现后，抉择抓包然而不显示网卡，下载win10pcap兼容性安装包。下载门路：win10pcap兼容性安装包
Wireshark 开始抓包示例
先介绍一个应用wireshark工具抓取ping命令操作的示例，让读者能够先上手操作感受一下抓包的具体过程。
1、关上wireshark 2.6.5，主界面如下：
2、抉择菜单栏上Capture -> Option，勾选WLAN网卡（这里须要依据各自电脑网卡应用状况抉择，简略的方法能够看应用的IP对应的网卡）。点击Start。启动抓包。
3、wireshark启动后，wireshark处于抓包状态中。
4、执行须要抓包的操作，如在cmd窗口下执行ping www.baidu.com。
5、操作实现后相干数据包就抓取到了。为防止其余无用的数据包影响剖析，能够通过在过滤栏设置过滤条件进行数据包列表过滤，获取后果如下。阐明：ip.addr == 119.75.217.26 and icmp 示意只显示ICPM协定且源主机IP或者目标主机IP为119.75.217.26的数据包。阐明：协定名称icmp要小写。
5、wireshark抓包实现，就这么简略。对于wireshark显示过滤条件、抓包过滤条件、以及如何查看数据包中的具体内容在前面介绍。
Wireshakr抓包界面介绍
阐明：数据包列表区中不同的协定应用了不同的色彩辨别。协定色彩标识定位在菜单栏View --> Coloring Rules。如下所示
WireShark 次要分为这几个界面
\1. Display Filter(显示过滤器)， 用于设置过滤条件进行数据包列表过滤。菜单门路：Analyze --> Display Filters。
\2. Packet List Pane(数据包列表)， 显示捕捉到的数据包，每个数据包蕴含编号，工夫戳，源地址，指标地址，协定，长度，以及数据包信息。 不同协定的数据包应用了不同的色彩辨别显示。
\3. Packet Details Pane(数据包详细信息), 在数据包列表中抉择指定数据包，在数据包详细信息中会显示数据包的所有具体信息内容。数据包详细信息面板是最重要的，用来查看协定中的每一个字段。各行信息别离为
（1）Frame: 物理层的数据帧详情
（2）Ethernet II: 数据链路层以太网帧头部信息
（3）Internet Protocol Version 4: 互联网层IP包头部信息
（4）Transmission Control Protocol: 传输层T的数据段头部信息，此处是TCP
（5）Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协定
TCP包的具体内容
从下图能够看到wireshark捕捉到的TCP包中的每个字段。
\4. Dissector Pane(数据包字节区)。
Wireshark过滤器设置
初学者应用wireshark时，将会失去大量的冗余数据包列表，以至于很难找到本人须要抓取的数据包局部。wireshark工具中自带了两种类型的过滤器，学会应用这两种过滤器会帮忙咱们在大量的数据中迅速找到咱们须要的信息。
（1）抓包过滤器
捕捉过滤器的菜单栏门路为Capture --> Capture Filters。用于在抓取数据包前设置。
如何应用？能够在抓取数据包前设置如下。
ip host 60.207.246.216 and icmp示意只捕捉主机IP为60.207.246.216的ICMP数据包。获取后果如下：
（2）显示过滤器
显示过滤器是用于在抓取数据包后设置过滤条件进行过滤数据包。通常是在抓取数据包时设置条件绝对宽泛或者没有设置导致抓取的数据包内容较多时应用显示过滤器设置条件过滤以不便剖析。同样上述场景，在捕捉时未设置抓包过滤规定间接通过网卡进行抓取所有数据包，如下
执行ping www.huawei.com获取的数据包列表如下
察看上述获取的数据包列表，含有大量的有效数据。这时能够通过设置显示器过滤条件进行提取剖析信息。ip.addr == 211.162.2.183 and icmp。并进行过滤。
上述介绍了抓包过滤器和显示过滤器的根本应用办法。在组网不简单或者流量不大状况下，应用显示器过滤器进行抓包后处理就能够满足咱们应用。上面介绍一下两者间的语法以及它们的区别。
wireshark过滤器表达式的规定
1、抓包过滤器语法和实例
抓包过滤器类型Type（host、net、port）、方向Dir（src、dst）、协定Proto（ether、ip、tcp、udp、http、icmp、ftp等）、逻辑运算符（&& 与、|| 或、！非）
（1）协定过滤
比较简单，间接在抓包过滤框中间接输出协定名即可。
tcp，只显示TCP协定的数据包列表
http，只查看HTTP协定的数据包列表
icmp，只显示ICMP协定的数据包列表
（2）IP过滤
host 192.168.1.104
src host 192.168.1.104
dst host 192.168.1.104
（3）端口过滤
port 80
src port 80
dst port 80
（4）逻辑运算符&& 与、|| 或、！非
src host 192.168.1.104 && dst port 80 抓取主机地址为192.168.1.80、目标端口为80的数据包
host 192.168.1.104 || host 192.168.1.102 抓取主机为192.168.1.104或者192.168.1.102的数据包
！broadcast 不抓取播送数据包
2、显示过滤器语法和实例
（1）比拟操作符
比拟操作符有== 等于、！= 不等于、> 大于、< 小于、>= 大于等于、<=小于等于。
（2）协定过滤
比较简单，间接在Filter框中间接输出协定名即可。留神：协定名称须要输出小写。
tcp，只显示TCP协定的数据包列表
http，只查看HTTP协定的数据包列表
icmp，只显示ICMP协定的数据包列表
（3） ip过滤
ip.src ==192.168.1.104 显示源地址为192.168.1.104的数据包列表
ip.dst==192.168.1.104, 显示指标地址为192.168.1.104的数据包列表
ip.addr == 192.168.1.104 显示源IP地址或指标IP地址为192.168.1.104的数据包列表
（4）端口过滤
tcp.port ==80, 显示源主机或者目标主机端口为80的数据包列表。
tcp.srcport == 80, 只显示TCP协定的源主机端口为80的数据包列表。
tcp.dstport == 80，只显示TCP协定的目标主机端口为80的数据包列表。
（5） Http模式过滤
http.request.method=="GET", 只显示HTTP GET办法的。
（6）逻辑运算符为 and/or/not
过滤多个条件组合时，应用and/or。比方获取IP地址为192.168.1.104的ICMP数据包表达式为ip.addr == 192.168.1.104 and icmp
（7）依照数据包内容过滤。假如我要以IMCP层中的内容进行过滤，能够单击选中界面中的码流，在下方进行选中数据。如下
右键单击选中后呈现如下界面
选中Select后在过滤器中显示如下
前面条件表达式就须要本人填写。如下我想过滤出data数据包中蕴含"abcd"内容的数据流。蕴含的关键词是contains 前面跟上内容。
看到这， 基本上对wireshak有了初步理解。
Wireshark抓包剖析TCP三次握手
（1）TCP三次握手连贯建设过程
Step1：客户端发送一个SYN=1，ACK=0标记的数据包给服务端，申请进行连贯，这是第一次握手；
Step2：服务端收到申请并且容许连贯的话，就会发送一个SYN=1，ACK=1标记的数据包给发送端，通知它，能够通信了，并且让客户端发送一个确认数据包，这是第二次握手；
Step3：服务端发送一个SYN=0，ACK=1的数据包给客户端端，通知它连贯已被确认，这就是第三次握手。TCP连贯建设，开始通信。
（2）wireshark抓包获取拜访指定服务端数据包
Step1：启动wireshark抓包，关上浏览器输出www.huawei.com。
Step2：应用ping www.huawei.com获取IP。
Step3：输出过滤条件获取待剖析数据包列表 ip.addr == 211.162.2.183
图中能够看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的， 这阐明HTTP确实是应用TCP建设连贯的。
第一次握手数据包
客户端发送一个TCP，标记位为SYN，序列号为0， 代表客户端申请建设连贯。 如下图。
数据包的要害属性如下：
SYN ：标记位，示意申请建设连贯
Seq = 0 ：初始建设连贯值为0，数据包的绝对序列号从0开始，示意以后还没有发送数据
Ack =0：初始建设连贯值为0，曾经收到包的数量，示意以后没有接管到数据
第二次握手的数据包
服务器发回确认包, 标记位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的I S N加1以.即0+1=1, 如下图
数据包的要害属性如下：
Seq = 0 ：初始建设值为0，示意以后还没有发送数据
Ack = 1：示意以后端胜利接管的数据位数，尽管客户端没有发送任何无效数据，确认号还是被加1，因为蕴含SYN或FIN标记位。（并不会对无效数据的计数产生影响，因为含有SYN或FIN标记位的包并不携带无效数据）
第三次握手的数据包
客户端再次发送确认包(ACK) SYN标记位为0,ACK标记位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1, 如下图:
数据包的要害属性如下：
ACK ：标记位，示意曾经收到记录
Seq = 1 ：示意以后曾经发送1个数据
Ack = 1 : 示意以后端胜利接管的数据位数，尽管服务端没有发送任何无效数据，确认号还是被加1，因为蕴含SYN或FIN标记位（并不会对无效数据的计数产生影响，因为含有SYN或FIN标记位的包并不携带无效数据)。
就这样通过了TCP三次握手，建设了连贯。开始进行数据交互
上面针对数据交互过程的数据包进行一些阐明：
数据包的要害属性阐明
Seq: 1
Ack: 1: 阐明当初共收到1字节数据
Seq: 1
Ack: 951: 阐明当初服务端共收到951字节数据
在TCP层，有个FLAGS字段，这个字段有以下几个标识：SYN, FIN, ACK, PSH, RST, URG。如下
其中，对于咱们日常的剖析有用的就是后面的五个字段。它们的含意是：SYN示意建设连贯，FIN示意敞开连贯，ACK示意响应，PSH示意有DATA数据传输，RST示意连贯重置。
Wireshark剖析罕用操作
调整数据包列表中工夫戳显示格局。调整办法为View -->Time Display Format --> Date and Time of Day。调整后格局如下：
参考文档
（1）wireshark抓包具体图文教程