Wireshark详细使用教程
簡介
Wireshark是一個網(wǎng)絡封包分析軟件。網(wǎng)絡封包分析軟件的功能是擷取網(wǎng)絡封包，并盡可能顯示出最為詳細的網(wǎng)絡封包資料。Wireshark使用WinPCAP作為接口，直接與網(wǎng)卡進行數(shù)據(jù)報文交換。WireShark可以比喻做硬件工程的萬用表、示波器，同樣我們網(wǎng)絡工程師或者軟件工程師可以利用wireshark來進行分析網(wǎng)絡。
wireshark可以做哪些事情？
1、利用wireshark進行tcp/ip知識的學習
在進行學習tcp/ip基礎知識尤其是網(wǎng)絡協(xié)議時異常枯燥，因為網(wǎng)絡的問題看不見摸不著，所以很難去深入地進行理解，而wireshark正是將這些知識以一種網(wǎng)絡數(shù)據(jù)包、可視化的形式給大獎呈現(xiàn)出來。
常見的tcp、udp、icmp、mqtt、http、ftp、pop3、tftp、dns、dhcp等，我們利用wireshark學習這些協(xié)議可以起到事半功倍的效果,我們將在接下來的一些列的博文中來介紹常見的tcp/ip協(xié)議。
2、利用wireshark工具進行網(wǎng)絡問題的分析
wireshark問題通常都比較復雜，我們可以利用wireshark進行常見網(wǎng)絡問題的分析，但是這一部分同時又涉及到tcp/ip的基礎知識，在學習完基礎的tcp/ip基礎知識后，就可以利用Wireshark進行網(wǎng)絡問題進行分析。通常利用wireshark解析以下幾種常見問題：
- 網(wǎng)絡斷開的問題
- 網(wǎng)絡數(shù)據(jù)是否發(fā)送以及發(fā)送的數(shù)據(jù)是否正確
- 網(wǎng)絡流量統(tǒng)計
- 利用wireshark進行常見應用層問題分析
3、對于未知的協(xié)議進行抓包分析
在有些情況我們不知道設備端口號、ip地址，我們同樣也可以利用wireshark進行問題的分析，定位問題。
下載及安裝
windows下安裝
安裝方法如下：
選項已被勾選，如圖 3-2 所示，然后單擊 Install。安裝過程便會隨即開始。
Finish。
linux下安裝
添加wireshark 下載鏈接地址，然后更新軟件源
sudo apt-add-repository ppa:wireshark-dev/stable
sudo apt-get update
在命令行安裝wireshark
sudo apt-get install wireshark
安裝過程選擇yes，非root用戶也能抓包
后續(xù)配置，新建wireshark 用戶組，把當前用戶加入wireshark 用戶組
sudo groupadd wireshark
sudo chgrp wireshark /usr/bin/dumpcap
sudo chmod 4755 /usr/bin/dumpcap
sudo gpasswd -a your_username wireshark
第一條命令是 新建wireshark 用戶組，二、三條命令是配置和添加權限。第四條命令中的your_username 是當前系統(tǒng)的用戶名。
安裝完成啦，可以使用了
Wireshark 初步入門
1、打開wireshark 2.6.5，主界面如下：
2、選擇菜單欄上Capture -> Option，勾選WLAN網(wǎng)卡（這里需要根據(jù)各自電腦網(wǎng)卡使用情況選擇，簡單的辦法可以看使用的IP對應的網(wǎng)卡）。點擊Start。啟動抓包。
3、wireshark啟動后，wireshark處于抓包狀態(tài)中。
4、執(zhí)行需要抓包的操作，如ping www.baidu.com。
5、操作完成后相關數(shù)據(jù)包就抓取到了。為避免其他無用的數(shù)據(jù)包影響分析，可以通過在過濾欄設置過濾條件進行數(shù)據(jù)包列表過濾，獲取結果如下。說明：ip.addr == 119.75.217.26 and icmp 表示只顯示ICPM協(xié)議且源主機IP或者目的主機IP為119.75.217.26的數(shù)據(jù)包。
6.到此完成。
主界面介紹
整體來說，界面主要分為以下幾部分：
-
菜單欄：Wireshark的標準菜單欄。
-
工具欄：常用功能的快捷圖標按鈕，提供快速訪問菜單中經(jīng)常用到的項目的功能。
-
過濾器：提供處理當前顯示過濾得方法。
-
Packet List面板：顯示每個數(shù)據(jù)幀的摘要。這里采用表格的形式列出了當前捕獲文件中的所有數(shù)據(jù)包，其中包括了數(shù)據(jù)包序號、數(shù)據(jù)包捕獲的相對時間、數(shù)據(jù)包的源地址和目標地址、數(shù)據(jù)包的協(xié)議以及在數(shù)據(jù)包中找到的概況信息等。
-
Packet Details面板：分析數(shù)據(jù)包的詳細信息。這個面板分層次地顯示了一個數(shù)據(jù)包中的內容，并且可以通過展開或是收縮來顯示這個數(shù)據(jù)包中所捕獲的全部內容。
-
Packet Bytes面板：以十六進制和ASCII碼的形式顯示數(shù)據(jù)包的內容。這里顯 示了一個數(shù)據(jù)包未經(jīng)處理的原始樣子，也就是在鏈路上傳播時的樣子。
-
狀態(tài)欄：包含有專家信息、注釋、包的數(shù)量和Profile。
菜單欄
File（文件） ——包括打開、合并捕捉文件，save/保存，Print/打印，Export/導出，捕捉文件的全部或部分。以及退出Wireshark 項。
Edit（編輯）——包括如下項目：查找包，時間參考，標記一個多個包，設置預設參數(shù)。（剪切，拷貝，粘貼不能立即執(zhí)行。）
View（視圖） ——控制捕捉數(shù)據(jù)的顯示方式，包括顏色，字體縮放，將包顯示在分離的窗口，展開或收縮詳情面版的地樹狀節(jié)點
GO（跳轉） ——包含到指定包的功能。
Capture（捕獲）——控制抓包的對話框，包括接口，選項，開始/停止/重新開始和過濾器。
Analyze（分析） ——包含處理顯示過濾，允許或禁止分析協(xié)議，配置用戶指定解碼和追蹤TCP 流等功能。
Statistics（統(tǒng)計） ——包括的菜單項用戶顯示多個統(tǒng)計窗口，包括關于捕捉包的摘要，協(xié)議層次統(tǒng)計等等。
Help（幫助） ——包含一些輔助用戶的參考內容。如訪問一些基本的幫助文件，支持的協(xié)議列表，用戶手冊。
工具欄
①——使用最后一次的捕捉設置立即開始捕捉
②——停止當前捕捉
③——停止當前捕捉并立即重新開始
④——打開捕獲窗口
過濾器
當進行數(shù)據(jù)包捕獲時，只有那些滿足給定的包含/排除表達式的數(shù)據(jù)包會被捕獲。
常見的過濾條件有：
過濾源ip、目的ip——如查找目的地址為192.168.101.8的包，ip.dst192.168.101.8；查找源地址為ip.src1.1.1.1。
端口過濾——如過濾80端口，在Filter中輸入，tcp.port80，這條規(guī)則是把源端口和目的端口為80的都過濾出來。使用tcp.dstport80只過濾目的端口為80的，tcp.srcport==80只過濾源端口為80的包。
協(xié)議過濾——比較簡單，直接在Filter框中直接輸入?yún)f(xié)議名即可，如過濾HTTP的協(xié)議
http模式過濾——如過濾get包，http.request.method==“GET”,過濾post包，http.request.method==“POST”
連接符and——過濾兩種條件時，使用and連接，如過濾ip為192.168.101.8并且為http協(xié)議的，ip.src==192.168.101.8 and http。
Packet List面板
列表中的每行顯示捕捉文件的一個包。如果您選擇其中一行，該包得更多情況會顯示在"Packet Detail/包詳情"，"Packet Byte/包字節(jié)"面板。
Packet List面板中默認包含了幾列，如No、Time、Source和Destination等。
- No. 包的編號，編號不會發(fā)生改變，即使進行了過濾也同樣如此
- Time 包的時間戳。包時間戳的格式可以自行設置，見第 6.10 節(jié) “時間顯示格式及參考時間”
- Source 顯示包的源地址。
- Destination 顯示包的目標地址。
- Protocal 顯示包的協(xié)議類型的簡寫
- Info 包內容的附加信息
Packet Details面板
該面板顯示包列表面板選中包的協(xié)議及協(xié)議字段，協(xié)議及字段以樹狀方式組織。可以展開或折疊進行查看。
Packet Bytes面板
通常在16進制轉儲形式中，左側顯示包數(shù)據(jù)偏移量，中間欄以16進制表示，右側顯示為對應的ASCII字符。
狀態(tài)欄
通常狀態(tài)欄的左側會顯示相關上下文信息，右側會顯示當前包數(shù)目。
Wireshark過濾器設置
初學者使用wireshark時，將會得到大量的冗余數(shù)據(jù)包列表，以至于很難找到自己自己抓取的數(shù)據(jù)包部分。wireshar工具中自帶了兩種類型的過濾器，學會使用這兩種過濾器會幫助我們在大量的數(shù)據(jù)中迅速找到我們需要的信息。
捕獲過濾器
捕獲過濾器的菜單欄路徑為Capture --> Capture Filters。用于在抓取數(shù)據(jù)包前設置。
如何使用？可以在抓取數(shù)據(jù)包前設置如下。
ip host 60.207.246.216 and icmp表示只捕獲主機IP為60.207.246.216的ICMP數(shù)據(jù)包。獲取結果如下：
顯示過濾器
顯示過濾器是用于在抓取數(shù)據(jù)包后設置過濾條件進行過濾數(shù)據(jù)包。通常是在抓取數(shù)據(jù)包時設置條件相對寬泛，抓取的數(shù)據(jù)包內容較多時使用顯示過濾器設置條件顧慮以方便分析。同樣上述場景，在捕獲時未設置捕獲規(guī)則直接通過網(wǎng)卡進行抓取所有數(shù)據(jù)包，如下
執(zhí)行ping www.huawei.com獲取的數(shù)據(jù)包列表如下
觀察上述獲取的數(shù)據(jù)包列表，含有大量的無效數(shù)據(jù)。這時可以通過設置顯示器過濾條件進行提取分析信息。ip.addr == 211.162.2.183 and icmp。并進行過濾。
上述介紹了抓包過濾器和顯示過濾器的基本使用方法。在組網(wǎng)不復雜或者流量不大情況下，使用顯示器過濾器進行抓包后處理就可以滿足我們使用。下面介紹一下兩者間的語法以及它們的區(qū)別。
wireshark過濾器表達式的規(guī)則
1、抓包過濾器語法和實例
抓包過濾器類型Type（host、net、port）、方向Dir（src、dst）、協(xié)議Proto（ether、ip、tcp、udp、http、icmp、ftp等）、邏輯運算符（&& 與、|| 或、！非）
（1）協(xié)議過濾
比較簡單，直接在抓包過濾框中直接輸入?yún)f(xié)議名即可。
TCP，只顯示TCP協(xié)議的數(shù)據(jù)包列表
HTTP，只查看HTTP協(xié)議的數(shù)據(jù)包列表
ICMP，只顯示ICMP協(xié)議的數(shù)據(jù)包列表
（2）IP過濾
host 192.168.1.104
src host 192.168.1.104
dst host 192.168.1.104
（3）端口過濾
port 80
src port 80
dst port 80
（4）邏輯運算符&& 與、|| 或、！非
src host 192.168.1.104 && dst port 80 抓取主機地址為192.168.1.80、目的端口為80的數(shù)據(jù)包
host 192.168.1.104 || host 192.168.1.102 抓取主機為192.168.1.104或者192.168.1.102的數(shù)據(jù)包
！broadcast 不抓取廣播數(shù)據(jù)包
2、顯示過濾器語法和實例
（1）比較操作符
比較操作符有== 等于、！= 不等于、> 大于、< 小于、>= 大于等于、<=小于等于。
（2）協(xié)議過濾
比較簡單，直接在Filter框中直接輸入?yún)f(xié)議名即可。注意：協(xié)議名稱需要輸入小寫。
tcp，只顯示TCP協(xié)議的數(shù)據(jù)包列表
http，只查看HTTP協(xié)議的數(shù)據(jù)包列表
icmp，只顯示ICMP協(xié)議的數(shù)據(jù)包列表
（3） ip過濾
ip.src ==192.168.1.104 顯示源地址為192.168.1.104的數(shù)據(jù)包列表
ip.dst==192.168.1.104, 顯示目標地址為192.168.1.104的數(shù)據(jù)包列表
ip.addr == 192.168.1.104 顯示源IP地址或目標IP地址為192.168.1.104的數(shù)據(jù)包列
（4）端口過濾
tcp.port ==80, 顯示源主機或者目的主機端口為80的數(shù)據(jù)包列表。
tcp.srcport == 80, 只顯示TCP協(xié)議的源主機端口為80的數(shù)據(jù)包列表。
tcp.dstport == 80，只顯示TCP協(xié)議的目的主機端口為80的數(shù)據(jù)包列表。
5） Http模式過濾
http.request.method==“GET”, 只顯示HTTP GET方法的。
（6）邏輯運算符為 and/or/not
過濾多個條件組合時，使用and/or。比如獲取IP地址為192.168.1.104的ICMP數(shù)據(jù)包表達式為ip.addr == 192.168.1.104 and icmp
（7）按照數(shù)據(jù)包內容過濾。假設我要以IMCP層中的內容進行過濾，可以單擊選中界面中的碼流，在下方進行選中數(shù)據(jù)。如下
右鍵單擊選中后出現(xiàn)如下界面
選中Select后在過濾器中顯示如下
后面條件表達式就需要自己填寫。如下我想過濾出data數(shù)據(jù)包中包含"abcd"內容的數(shù)據(jù)流。包含的關鍵詞是contains 后面跟上內容。
Wireshark分析三次握手
wireshark能獲取HTTP，也能獲取HTTPS，但是不能解密HTTPS，所以wireshark看不懂HTTPS中的內容，總結，如果是處理HTTP,HTTPS 還是用Fiddler, 其他協(xié)議比如TCP,UDP 就用wireshark.
封包詳細信息與對應的OSI模型
TCP三次握手過程圖
第一次握手：
? 建立連接時，客戶端發(fā)送SYN包（Seq=x）到服務器，并進入SYN_SENT狀態(tài)，等待服務器確認。
第二次握手：
? 服務器收到SYN包，必須確認客戶的SYN（ACK=x+1），同時自己也發(fā)送一個SYN包（Seq=Y），即SYN+ACK包，此時服務器進入SYN_RECV狀態(tài)。
第三次握手：
? 客戶端收到服務器的SYN+ACK包，向服務器發(fā)送確認包ACK(ACK=y+1），此包發(fā)送完畢，客戶端和服務器進入ESTABLISHED（TCP連接成功）狀態(tài)，完成三次握手。
TCP包的具體內容
從下圖可以看到wireshark捕獲到的TCP包中的每個字段。
TCP標志的意義
-
SYN：Synchronize，用于初始化和建立連接，它同時也用于同步設備之間的序列號（Seq）
-
ACK：Acknolowege，向另一方確認它已收到SYN
-
Seq：Sequence number，序列號，用于表示曾經(jīng)發(fā)送過數(shù)據(jù)的字節(jié)數(shù)+1
-
Len：用于表示收到的字節(jié)大小，0表示本次沒有收到數(shù)據(jù)
-
FIN：用于結束連接
注意：
即使Seq不為0，并不表示曾經(jīng)一定發(fā)送過數(shù)據(jù)，是否發(fā)送過數(shù)據(jù)需要依據(jù)Len指令的值有沒有大于0的來判斷。
3次握手和4次揮手過程中一般是不會傳送數(shù)據(jù)的，所以這個過程中Len指令都是0
三次握手分析：
1.打開wireshark, 輸入捕獲過濾器為：tcp，顯示過濾器為：tcp.port == 80，選擇我連接網(wǎng)絡的網(wǎng)卡為：WLAN
2.點擊右上角開始捕獲分組，進入捕獲界面
3.打開瀏覽器輸入 http://www.aigony.com ，接下來即可看到捕獲信息
圖中可以看到wireshark截獲到了三次握手的三個數(shù)據(jù)包。第四個包才是HTTP的， 這說明HTTP的確是使用TCP建立連接的。
第一次握手數(shù)據(jù)包
客戶端向服務器發(fā)送連接請求包，標志位SYN（同步序號）置為1，序號Seq為X=0，如下圖
第二次握手的數(shù)據(jù)包
服務器收到客戶端發(fā)過來的報文，由SYN=1知道客戶端要求建立連接。服務器發(fā)回確認包, 標志位SYN和ACK都置為1。 將確認序號(Acknowledgement Number)設置為客戶端的Seq+1，即X+1= 0+1=1, 如下圖
第三次握手的數(shù)據(jù)包
客戶端收到服務器發(fā)來的包后檢查確認序號(Acknowledgement Number)是否正確，即第一次發(fā)送的序號加1（X+1=1）。以及標志位ACK是否為1。若正確，客戶端再次發(fā)送確認包(ACK)，SYN標志位為0，ACK標志位為1。 確認序號(Acknowledgement Number)為Y+= 0+1= 1，發(fā)送序號Seq為X+1=1。服務器收到后確認序號值與ACK=1則連接建立成功，可以傳送數(shù)據(jù)了。 如下
就這樣通過TCP三次握手，建立了HTTP連接 。
總結
以上是生活随笔為你收集整理的Wireshark详细使用教程的全部內容，希望文章能夠幫你解決所遇到的問題。
- 上一篇： 软件测试的支付流程图,软件测试流程图案例
- 下一篇： 【洛谷】P1216数字三角形