网络抓包工具——【wireshark】使用入门教程

一、软件介绍

二、抓包示例

三、界面讲解

1、 Display Filter(显示过滤器) 

2、Packet List Pane(数据包列表)

3、Packet Details Pane(数据包详细信息)

四、过滤器设置

1、抓包过滤器

2、显示过滤器

五、抓包过滤器规则

1)抓包过滤器语法与实例

1、协议过滤

2、IP过滤

3、端口过滤

4、逻辑运算符&&与、|| 或、!非

2)显示过滤器语法和实例

1、比较操作符

2、协议过滤

3、IP过滤

4、端口过滤

5、HTTP模式过滤

6、逻辑运算符为and/or/not

7、按照数据包内容过滤。

一、软件介绍

Wireshark是非常流行的网络封包分析软件,可以截取各种网络数据包,并显示数据包详细信息。常用于开发测试过程中各种问题定位。


二、抓包示例

1、打开wireshark,主界面如下:

2、 选择所需要抓包的网口,勾选WLAN网卡,双击网卡。启动抓包。

3、wireshark启动后,wireshark处于抓包状态中。

4、执行需要抓包的操作,如ping www.baidu.com

5、操作完成后相关数据包就抓取到了。为避免其他无用的数据包影响分析,可以通过在过滤栏设置过滤条件进行数据包列表过滤,获取结果如下。

说明:ip.addr == 14.215.177.39 and icmp 表示只显示ICPM协议且源主机IP或者目的主机IP为119.75.217.26的数据包。

6、wireshark抓包就完成了。


三、界面讲解

说明:数据包列表区中不同的协议使用了不同的颜色区分。协议颜色标识定位在菜单栏View --> Coloring Rules。如下所示

主要界面

1、 Display Filter(显示过滤器) 

用于设置过滤条件进行数据包列表过滤。菜单路径:Analyze --> Display Filters。


2、Packet List Pane(数据包列表)

显示捕获到的数据包,每个数据包包含编号,时间戳,源地址,目标地址,协议,长度,以及数据包信息。

不同协议的数据包使用了不同的颜色区分显示。


3、Packet Details Pane(数据包详细信息)

在数据包列表中选择指定数据包,在数据包详细信息中会显示数据包的所有详细信息内容。

数据包详细信息面板是最重要的,用来查看协议中的每一个字段。

各行信息分别为:

Frame

物理层的数据帧概况

Ethernet II

数据链路层以太网帧头部信息

Internet Protocol Version 4

互联网层IP包头部信息

Transmission Control Protocol

传输层T的数据段头部信息,此处是TCP

Hypertext Transfer Protocol

应用层的信息,此处是HTTP协议

4、TCP包具体内容


四、过滤器设置

初学者使用wireshark时,将会得到大量的冗余数据包列表,以至于很难找到自己自己抓取的数据包部分。

wireshar工具中自带了两种类型的过滤器,学会使用这两种过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。

1、抓包过滤器

捕获过滤器的菜单栏路径为Capture --> Capture Filters。用于在抓取数据包前设置。

如何使用?可以在抓取数据包前设置如下。

ip host 60.207.246.216 and icmp表示只捕获主机IP为60.207.246.216的ICMP数据包。

获取结果如下:

2、显示过滤器

显示过滤器是用于在抓取数据包后设置过滤条件进行过滤数据包。

通常是在抓取数据包时设置条件相对宽泛,抓取的数据包内容较多时使用显示过滤器设置条件顾虑以方便分析。

同样上述场景,在捕获时未设置捕获规则直接通过网卡进行抓取所有数据包,如下

执行ping www.huawei.com获取的数据包列表如下

观察上述获取的数据包列表,含有大量的无效数据。

这时可以通过设置显示器过滤条件进行提取分析信息。ip.addr == 211.162.2.183 and icmp。并进行过滤。

上述介绍了抓包过滤器和显示过滤器的基本使用方法。

在组网不复杂或者流量不大情况下,使用显示器过滤器进行抓包后处理就可以满足我们使用。


五、抓包过滤器规则

1)抓包过滤器语法与实例

过滤器类型Type

过滤器方向Dir

过滤器协议Proto

过滤器逻辑运算符

host

src

ether

&& 与

ip

net

tcp

|| 或

dst

udp

port

http

! 非

icmp

ftp

1、协议过滤

比较简单,直接在抓包过滤框中直接输入协议名即可。

TCP

只显示TCP协议的数据包列表

HTTP

只查看HTTP协议的数据包列表

ICMP

只显示ICMP协议的数据包列表

2、IP过滤

host

192.168.1.10

src host

192.168.1.10

dst host

192.168.1.10

3、端口过滤

port

80

src port

80

dst port

80

4、逻辑运算符&&与、|| 或、!非

src host 192.168.1.1 && dst port 80

抓取主机地址为192.168.1.1、目的端口为80的数据包

host 192.168.1.1 || host 192.168.1.2

抓取主机为192.168.1.1或者192.168.1.2的数据包

!broadcast

不抓取广播数据包

2)显示过滤器语法和实例

1、比较操作符

==

等于

!=

不等于

>

大于

小于

>=

大于等于

小于等于

2、协议过滤

比较简单,直接在Filter框中直接输入协议名即可。注意:协议名称需要输入小写。

TCP

只显示TCP协议的数据包列表

HTTP

只查看HTTP协议的数据包列表

ICMP

只显示ICMP协议的数据包列表

3、IP过滤

host

192.168.1.10

src host

192.168.1.10

dst host

192.168.1.10

4、端口过滤

port

80

src port

80

dst port

80

5、HTTP模式过滤

 http.request.method=="GET",   只显示HTTP GET方法的。

6、逻辑运算符为and/or/not

过滤多个条件组合时,使用and/or。

比如获取IP地址为192.168.1.104的ICMP数据包表达式为ip.addr == 192.168.1.104 and icmp

7、按照数据包内容过滤。

假设我要以IMCP层中的内容进行过滤,可以单击选中界面中的码流,在下方进行选中数据。如下

上一篇:网络抓包工具 wireshark 入门教程


下一篇:基于Wireshark验证网站口令认证传输方案