Wireshark详细使用教程
簡(jiǎn)介
Wireshark是一個(gè)網(wǎng)絡(luò)封包分析軟件。網(wǎng)絡(luò)封包分析軟件的功能是擷取網(wǎng)絡(luò)封包，并盡可能顯示出最為詳細(xì)的網(wǎng)絡(luò)封包資料。Wireshark使用WinPCAP作為接口，直接與網(wǎng)卡進(jìn)行數(shù)據(jù)報(bào)文交換。WireShark可以比喻做硬件工程的萬(wàn)用表、示波器，同樣我們網(wǎng)絡(luò)工程師或者軟件工程師可以利用wireshark來(lái)進(jìn)行分析網(wǎng)絡(luò)。
wireshark可以做哪些事情？
1、利用wireshark進(jìn)行tcp/ip知識(shí)的學(xué)習(xí)
在進(jìn)行學(xué)習(xí)tcp/ip基礎(chǔ)知識(shí)尤其是網(wǎng)絡(luò)協(xié)議時(shí)異常枯燥，因?yàn)榫W(wǎng)絡(luò)的問(wèn)題看不見(jiàn)摸不著，所以很難去深入地進(jìn)行理解，而wireshark正是將這些知識(shí)以一種網(wǎng)絡(luò)數(shù)據(jù)包、可視化的形式給大獎(jiǎng)呈現(xiàn)出來(lái)。
常見(jiàn)的tcp、udp、icmp、mqtt、http、ftp、pop3、tftp、dns、dhcp等，我們利用wireshark學(xué)習(xí)這些協(xié)議可以起到事半功倍的效果,我們將在接下來(lái)的一些列的博文中來(lái)介紹常見(jiàn)的tcp/ip協(xié)議。
2、利用wireshark工具進(jìn)行網(wǎng)絡(luò)問(wèn)題的分析
wireshark問(wèn)題通常都比較復(fù)雜，我們可以利用wireshark進(jìn)行常見(jiàn)網(wǎng)絡(luò)問(wèn)題的分析，但是這一部分同時(shí)又涉及到tcp/ip的基礎(chǔ)知識(shí)，在學(xué)習(xí)完基礎(chǔ)的tcp/ip基礎(chǔ)知識(shí)后，就可以利用Wireshark進(jìn)行網(wǎng)絡(luò)問(wèn)題進(jìn)行分析。通常利用wireshark解析以下幾種常見(jiàn)問(wèn)題：
- 網(wǎng)絡(luò)斷開(kāi)的問(wèn)題
- 網(wǎng)絡(luò)數(shù)據(jù)是否發(fā)送以及發(fā)送的數(shù)據(jù)是否正確
- 網(wǎng)絡(luò)流量統(tǒng)計(jì)
- 利用wireshark進(jìn)行常見(jiàn)應(yīng)用層問(wèn)題分析
3、對(duì)于未知的協(xié)議進(jìn)行抓包分析
在有些情況我們不知道設(shè)備端口號(hào)、ip地址，我們同樣也可以利用wireshark進(jìn)行問(wèn)題的分析，定位問(wèn)題。
下載及安裝
windows下安裝
安裝方法如下：
選項(xiàng)已被勾選，如圖 3-2 所示，然后單擊 Install。安裝過(guò)程便會(huì)隨即開(kāi)始。
Finish。
linux下安裝
添加wireshark 下載鏈接地址，然后更新軟件源
sudo apt-add-repository ppa:wireshark-dev/stable
sudo apt-get update
在命令行安裝wireshark
sudo apt-get install wireshark
安裝過(guò)程選擇yes，非root用戶也能抓包
后續(xù)配置，新建wireshark 用戶組，把當(dāng)前用戶加入wireshark 用戶組
sudo groupadd wireshark
sudo chgrp wireshark /usr/bin/dumpcap
sudo chmod 4755 /usr/bin/dumpcap
sudo gpasswd -a your_username wireshark
第一條命令是 新建wireshark 用戶組，二、三條命令是配置和添加權(quán)限。第四條命令中的your_username 是當(dāng)前系統(tǒng)的用戶名。
安裝完成啦，可以使用了
Wireshark 初步入門(mén)
1、打開(kāi)wireshark 2.6.5，主界面如下：
2、選擇菜單欄上Capture -> Option，勾選WLAN網(wǎng)卡（這里需要根據(jù)各自電腦網(wǎng)卡使用情況選擇，簡(jiǎn)單的辦法可以看使用的IP對(duì)應(yīng)的網(wǎng)卡）。點(diǎn)擊Start。啟動(dòng)抓包。
3、wireshark啟動(dòng)后，wireshark處于抓包狀態(tài)中。
4、執(zhí)行需要抓包的操作，如ping www.baidu.com。
5、操作完成后相關(guān)數(shù)據(jù)包就抓取到了。為避免其他無(wú)用的數(shù)據(jù)包影響分析，可以通過(guò)在過(guò)濾欄設(shè)置過(guò)濾條件進(jìn)行數(shù)據(jù)包列表過(guò)濾，獲取結(jié)果如下。說(shuō)明：ip.addr == 119.75.217.26 and icmp 表示只顯示ICPM協(xié)議且源主機(jī)IP或者目的主機(jī)IP為119.75.217.26的數(shù)據(jù)包。
6.到此完成。
主界面介紹
整體來(lái)說(shuō)，界面主要分為以下幾部分：
-
菜單欄：Wireshark的標(biāo)準(zhǔn)菜單欄。
-
工具欄：常用功能的快捷圖標(biāo)按鈕，提供快速訪問(wèn)菜單中經(jīng)常用到的項(xiàng)目的功能。
-
過(guò)濾器：提供處理當(dāng)前顯示過(guò)濾得方法。
-
Packet List面板：顯示每個(gè)數(shù)據(jù)幀的摘要。這里采用表格的形式列出了當(dāng)前捕獲文件中的所有數(shù)據(jù)包，其中包括了數(shù)據(jù)包序號(hào)、數(shù)據(jù)包捕獲的相對(duì)時(shí)間、數(shù)據(jù)包的源地址和目標(biāo)地址、數(shù)據(jù)包的協(xié)議以及在數(shù)據(jù)包中找到的概況信息等。
-
Packet Details面板：分析數(shù)據(jù)包的詳細(xì)信息。這個(gè)面板分層次地顯示了一個(gè)數(shù)據(jù)包中的內(nèi)容，并且可以通過(guò)展開(kāi)或是收縮來(lái)顯示這個(gè)數(shù)據(jù)包中所捕獲的全部?jī)?nèi)容。
-
Packet Bytes面板：以十六進(jìn)制和ASCII碼的形式顯示數(shù)據(jù)包的內(nèi)容。這里顯 示了一個(gè)數(shù)據(jù)包未經(jīng)處理的原始樣子，也就是在鏈路上傳播時(shí)的樣子。
-
狀態(tài)欄：包含有專家信息、注釋、包的數(shù)量和Profile。
菜單欄
File（文件） ——包括打開(kāi)、合并捕捉文件，save/保存，Print/打印，Export/導(dǎo)出，捕捉文件的全部或部分。以及退出Wireshark 項(xiàng)。
Edit（編輯）——包括如下項(xiàng)目：查找包，時(shí)間參考，標(biāo)記一個(gè)多個(gè)包，設(shè)置預(yù)設(shè)參數(shù)。（剪切，拷貝，粘貼不能立即執(zhí)行。）
View（視圖） ——控制捕捉數(shù)據(jù)的顯示方式，包括顏色，字體縮放，將包顯示在分離的窗口，展開(kāi)或收縮詳情面版的地樹(shù)狀節(jié)點(diǎn)
GO（跳轉(zhuǎn)） ——包含到指定包的功能。
Capture（捕獲）——控制抓包的對(duì)話框，包括接口，選項(xiàng)，開(kāi)始/停止/重新開(kāi)始和過(guò)濾器。
Analyze（分析） ——包含處理顯示過(guò)濾，允許或禁止分析協(xié)議，配置用戶指定解碼和追蹤TCP 流等功能。
Statistics（統(tǒng)計(jì)） ——包括的菜單項(xiàng)用戶顯示多個(gè)統(tǒng)計(jì)窗口，包括關(guān)于捕捉包的摘要，協(xié)議層次統(tǒng)計(jì)等等。
Help（幫助） ——包含一些輔助用戶的參考內(nèi)容。如訪問(wèn)一些基本的幫助文件，支持的協(xié)議列表，用戶手冊(cè)。
工具欄
①——使用最后一次的捕捉設(shè)置立即開(kāi)始捕捉
②——停止當(dāng)前捕捉
③——停止當(dāng)前捕捉并立即重新開(kāi)始
④——打開(kāi)捕獲窗口
過(guò)濾器
當(dāng)進(jìn)行數(shù)據(jù)包捕獲時(shí)，只有那些滿足給定的包含/排除表達(dá)式的數(shù)據(jù)包會(huì)被捕獲。
常見(jiàn)的過(guò)濾條件有：
過(guò)濾源ip、目的ip——如查找目的地址為192.168.101.8的包，ip.dst192.168.101.8；查找源地址為ip.src1.1.1.1。
端口過(guò)濾——如過(guò)濾80端口，在Filter中輸入，tcp.port80，這條規(guī)則是把源端口和目的端口為80的都過(guò)濾出來(lái)。使用tcp.dstport80只過(guò)濾目的端口為80的，tcp.srcport==80只過(guò)濾源端口為80的包。
協(xié)議過(guò)濾——比較簡(jiǎn)單，直接在Filter框中直接輸入?yún)f(xié)議名即可，如過(guò)濾HTTP的協(xié)議
http模式過(guò)濾——如過(guò)濾get包，http.request.method==“GET”,過(guò)濾post包，http.request.method==“POST”
連接符and——過(guò)濾兩種條件時(shí)，使用and連接，如過(guò)濾ip為192.168.101.8并且為http協(xié)議的，ip.src==192.168.101.8 and http。
Packet List面板
列表中的每行顯示捕捉文件的一個(gè)包。如果您選擇其中一行，該包得更多情況會(huì)顯示在"Packet Detail/包詳情"，"Packet Byte/包字節(jié)"面板。
Packet List面板中默認(rèn)包含了幾列，如No、Time、Source和Destination等。
- No. 包的編號(hào)，編號(hào)不會(huì)發(fā)生改變，即使進(jìn)行了過(guò)濾也同樣如此
- Time 包的時(shí)間戳。包時(shí)間戳的格式可以自行設(shè)置，見(jiàn)第 6.10 節(jié) “時(shí)間顯示格式及參考時(shí)間”
- Source 顯示包的源地址。
- Destination 顯示包的目標(biāo)地址。
- Protocal 顯示包的協(xié)議類型的簡(jiǎn)寫(xiě)
- Info 包內(nèi)容的附加信息
Packet Details面板
該面板顯示包列表面板選中包的協(xié)議及協(xié)議字段，協(xié)議及字段以樹(shù)狀方式組織。可以展開(kāi)或折疊進(jìn)行查看。
Packet Bytes面板
通常在16進(jìn)制轉(zhuǎn)儲(chǔ)形式中，左側(cè)顯示包數(shù)據(jù)偏移量，中間欄以16進(jìn)制表示，右側(cè)顯示為對(duì)應(yīng)的ASCII字符。
狀態(tài)欄
通常狀態(tài)欄的左側(cè)會(huì)顯示相關(guān)上下文信息，右側(cè)會(huì)顯示當(dāng)前包數(shù)目。
Wireshark過(guò)濾器設(shè)置
初學(xué)者使用wireshark時(shí)，將會(huì)得到大量的冗余數(shù)據(jù)包列表，以至于很難找到自己自己抓取的數(shù)據(jù)包部分。wireshar工具中自帶了兩種類型的過(guò)濾器，學(xué)會(huì)使用這兩種過(guò)濾器會(huì)幫助我們?cè)诖罅康臄?shù)據(jù)中迅速找到我們需要的信息。
捕獲過(guò)濾器
捕獲過(guò)濾器的菜單欄路徑為Capture --> Capture Filters。用于在抓取數(shù)據(jù)包前設(shè)置。
如何使用？可以在抓取數(shù)據(jù)包前設(shè)置如下。
ip host 60.207.246.216 and icmp表示只捕獲主機(jī)IP為60.207.246.216的ICMP數(shù)據(jù)包。獲取結(jié)果如下：
顯示過(guò)濾器
顯示過(guò)濾器是用于在抓取數(shù)據(jù)包后設(shè)置過(guò)濾條件進(jìn)行過(guò)濾數(shù)據(jù)包。通常是在抓取數(shù)據(jù)包時(shí)設(shè)置條件相對(duì)寬泛，抓取的數(shù)據(jù)包內(nèi)容較多時(shí)使用顯示過(guò)濾器設(shè)置條件顧慮以方便分析。同樣上述場(chǎng)景，在捕獲時(shí)未設(shè)置捕獲規(guī)則直接通過(guò)網(wǎng)卡進(jìn)行抓取所有數(shù)據(jù)包，如下
執(zhí)行ping www.huawei.com獲取的數(shù)據(jù)包列表如下
觀察上述獲取的數(shù)據(jù)包列表，含有大量的無(wú)效數(shù)據(jù)。這時(shí)可以通過(guò)設(shè)置顯示器過(guò)濾條件進(jìn)行提取分析信息。ip.addr == 211.162.2.183 and icmp。并進(jìn)行過(guò)濾。
上述介紹了抓包過(guò)濾器和顯示過(guò)濾器的基本使用方法。在組網(wǎng)不復(fù)雜或者流量不大情況下，使用顯示器過(guò)濾器進(jìn)行抓包后處理就可以滿足我們使用。下面介紹一下兩者間的語(yǔ)法以及它們的區(qū)別。
wireshark過(guò)濾器表達(dá)式的規(guī)則
1、抓包過(guò)濾器語(yǔ)法和實(shí)例
抓包過(guò)濾器類型Type（host、net、port）、方向Dir（src、dst）、協(xié)議Proto（ether、ip、tcp、udp、http、icmp、ftp等）、邏輯運(yùn)算符（&& 與、|| 或、！非）
（1）協(xié)議過(guò)濾
比較簡(jiǎn)單，直接在抓包過(guò)濾框中直接輸入?yún)f(xié)議名即可。
TCP，只顯示TCP協(xié)議的數(shù)據(jù)包列表
HTTP，只查看HTTP協(xié)議的數(shù)據(jù)包列表
ICMP，只顯示ICMP協(xié)議的數(shù)據(jù)包列表
（2）IP過(guò)濾
host 192.168.1.104
src host 192.168.1.104
dst host 192.168.1.104
（3）端口過(guò)濾
port 80
src port 80
dst port 80
（4）邏輯運(yùn)算符&& 與、|| 或、！非
src host 192.168.1.104 && dst port 80 抓取主機(jī)地址為192.168.1.80、目的端口為80的數(shù)據(jù)包
host 192.168.1.104 || host 192.168.1.102 抓取主機(jī)為192.168.1.104或者192.168.1.102的數(shù)據(jù)包
！broadcast 不抓取廣播數(shù)據(jù)包
2、顯示過(guò)濾器語(yǔ)法和實(shí)例
（1）比較操作符
比較操作符有== 等于、！= 不等于、> 大于、< 小于、>= 大于等于、<=小于等于。
（2）協(xié)議過(guò)濾
比較簡(jiǎn)單，直接在Filter框中直接輸入?yún)f(xié)議名即可。注意：協(xié)議名稱需要輸入小寫(xiě)。
tcp，只顯示TCP協(xié)議的數(shù)據(jù)包列表
http，只查看HTTP協(xié)議的數(shù)據(jù)包列表
icmp，只顯示ICMP協(xié)議的數(shù)據(jù)包列表
（3） ip過(guò)濾
ip.src ==192.168.1.104 顯示源地址為192.168.1.104的數(shù)據(jù)包列表
ip.dst==192.168.1.104, 顯示目標(biāo)地址為192.168.1.104的數(shù)據(jù)包列表
ip.addr == 192.168.1.104 顯示源IP地址或目標(biāo)IP地址為192.168.1.104的數(shù)據(jù)包列
（4）端口過(guò)濾
tcp.port ==80, 顯示源主機(jī)或者目的主機(jī)端口為80的數(shù)據(jù)包列表。
tcp.srcport == 80, 只顯示TCP協(xié)議的源主機(jī)端口為80的數(shù)據(jù)包列表。
tcp.dstport == 80，只顯示TCP協(xié)議的目的主機(jī)端口為80的數(shù)據(jù)包列表。
5） Http模式過(guò)濾
http.request.method==“GET”, 只顯示HTTP GET方法的。
（6）邏輯運(yùn)算符為 and/or/not
過(guò)濾多個(gè)條件組合時(shí)，使用and/or。比如獲取IP地址為192.168.1.104的ICMP數(shù)據(jù)包表達(dá)式為ip.addr == 192.168.1.104 and icmp
（7）按照數(shù)據(jù)包內(nèi)容過(guò)濾。假設(shè)我要以IMCP層中的內(nèi)容進(jìn)行過(guò)濾，可以單擊選中界面中的碼流，在下方進(jìn)行選中數(shù)據(jù)。如下
右鍵單擊選中后出現(xiàn)如下界面
選中Select后在過(guò)濾器中顯示如下
后面條件表達(dá)式就需要自己填寫(xiě)。如下我想過(guò)濾出data數(shù)據(jù)包中包含"abcd"內(nèi)容的數(shù)據(jù)流。包含的關(guān)鍵詞是contains 后面跟上內(nèi)容。
Wireshark分析三次握手
wireshark能獲取HTTP，也能獲取HTTPS，但是不能解密HTTPS，所以wireshark看不懂HTTPS中的內(nèi)容，總結(jié)，如果是處理HTTP,HTTPS 還是用Fiddler, 其他協(xié)議比如TCP,UDP 就用wireshark.
封包詳細(xì)信息與對(duì)應(yīng)的OSI模型
TCP三次握手過(guò)程圖
第一次握手：
? 建立連接時(shí)，客戶端發(fā)送SYN包（Seq=x）到服務(wù)器，并進(jìn)入SYN_SENT狀態(tài)，等待服務(wù)器確認(rèn)。
第二次握手：
? 服務(wù)器收到SYN包，必須確認(rèn)客戶的SYN（ACK=x+1），同時(shí)自己也發(fā)送一個(gè)SYN包（Seq=Y），即SYN+ACK包，此時(shí)服務(wù)器進(jìn)入SYN_RECV狀態(tài)。
第三次握手：
? 客戶端收到服務(wù)器的SYN+ACK包，向服務(wù)器發(fā)送確認(rèn)包ACK(ACK=y+1），此包發(fā)送完畢，客戶端和服務(wù)器進(jìn)入ESTABLISHED（TCP連接成功）狀態(tài)，完成三次握手。
TCP包的具體內(nèi)容
從下圖可以看到wireshark捕獲到的TCP包中的每個(gè)字段。
TCP標(biāo)志的意義
-
SYN：Synchronize，用于初始化和建立連接，它同時(shí)也用于同步設(shè)備之間的序列號(hào)（Seq）
-
ACK：Acknolowege，向另一方確認(rèn)它已收到SYN
-
Seq：Sequence number，序列號(hào)，用于表示曾經(jīng)發(fā)送過(guò)數(shù)據(jù)的字節(jié)數(shù)+1
-
Len：用于表示收到的字節(jié)大小，0表示本次沒(méi)有收到數(shù)據(jù)
-
FIN：用于結(jié)束連接
注意：
即使Seq不為0，并不表示曾經(jīng)一定發(fā)送過(guò)數(shù)據(jù)，是否發(fā)送過(guò)數(shù)據(jù)需要依據(jù)Len指令的值有沒(méi)有大于0的來(lái)判斷。
3次握手和4次揮手過(guò)程中一般是不會(huì)傳送數(shù)據(jù)的，所以這個(gè)過(guò)程中Len指令都是0
三次握手分析：
1.打開(kāi)wireshark, 輸入捕獲過(guò)濾器為：tcp，顯示過(guò)濾器為：tcp.port == 80，選擇我連接網(wǎng)絡(luò)的網(wǎng)卡為：WLAN
2.點(diǎn)擊右上角開(kāi)始捕獲分組，進(jìn)入捕獲界面
3.打開(kāi)瀏覽器輸入 http://www.aigony.com ，接下來(lái)即可看到捕獲信息
圖中可以看到wireshark截獲到了三次握手的三個(gè)數(shù)據(jù)包。第四個(gè)包才是HTTP的， 這說(shuō)明HTTP的確是使用TCP建立連接的。
第一次握手?jǐn)?shù)據(jù)包
客戶端向服務(wù)器發(fā)送連接請(qǐng)求包，標(biāo)志位SYN（同步序號(hào)）置為1，序號(hào)Seq為X=0，如下圖
第二次握手的數(shù)據(jù)包
服務(wù)器收到客戶端發(fā)過(guò)來(lái)的報(bào)文，由SYN=1知道客戶端要求建立連接。服務(wù)器發(fā)回確認(rèn)包, 標(biāo)志位SYN和ACK都置為1。 將確認(rèn)序號(hào)(Acknowledgement Number)設(shè)置為客戶端的Seq+1，即X+1= 0+1=1, 如下圖
第三次握手的數(shù)據(jù)包
客戶端收到服務(wù)器發(fā)來(lái)的包后檢查確認(rèn)序號(hào)(Acknowledgement Number)是否正確，即第一次發(fā)送的序號(hào)加1（X+1=1）。以及標(biāo)志位ACK是否為1。若正確，客戶端再次發(fā)送確認(rèn)包(ACK)，SYN標(biāo)志位為0，ACK標(biāo)志位為1。 確認(rèn)序號(hào)(Acknowledgement Number)為Y+= 0+1= 1，發(fā)送序號(hào)Seq為X+1=1。服務(wù)器收到后確認(rèn)序號(hào)值與ACK=1則連接建立成功，可以傳送數(shù)據(jù)了。 如下
就這樣通過(guò)TCP三次握手，建立了HTTP連接 。
總結(jié)
以上是生活随笔為你收集整理的Wireshark详细使用教程的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。
- 上一篇： 软件测试的支付流程图,软件测试流程图案例
- 下一篇： 【洛谷】P1216数字三角形