• 微信公众号:美女很有趣。 工作之余,放松一下,关注即送10G+美女照片!

wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨

互联网 diligentman 2周前 (07-21) 8次浏览

wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨

文章目录

    • 下载与安装
    • 选择接口(网卡)
    • wireshark抓包界面介绍
    • Wireshark过滤器
      • 1)捕获过滤器
      • 显示过滤器
      • 过滤器语法
        • 1)协议过滤
        • 2)IP过滤
        • 3)端口过滤
        • 4)逻辑运算符&& 与、|| 或、!非
        • 一些实例
        • 5)Http模式过滤
        • 6)数据包内容过滤
    • 实例:wireshark分析TCP包
    • 其他
      • 使用图表
      • 页面小tips

下载与安装

如果一切正常,那安装就很快,去wireshark官网下载一个。

如果安装过程中出现了问题,不妨看一下我昨晚写的问题解决教程:问题解决:wireshark之npcap无法安装、winpcap无法安装问题解决

因为我是用两台电脑的,所以,嗯。

第二台安装的时候就是一步到位很快的。


我也是新手上来的,在学的过程中看到很多教程,要么千篇一律,要么罗里吧嗦的千篇一律。我只想会用,不想看什么英语是什么意思,什么按键是什么意思,我看得懂英语好吗?!!

甚至还有什么,七八万字的教程,我的天哪。搞得这么复杂干嘛?人气?流量?


选择接口(网卡)

打开wireshark之后,正常情况下会有好多个接口:
wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨

还有的版本,就需要一波操作才能打开这个界面了:
wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨
点击。

或者还有个办法,就双击Traffic那个线。

不同的版本可能表面上不一样,不要被事物的表面现象所迷惑,我们现在讲的是思维。

它可能默认会给你全勾上,没事儿,不用管它,你只要确认你想监听的那个接口被选中,高亮,注意,是高亮,不是打勾,勾肯定是勾上了,看上面的图,蓝色高亮,然后开始。

不然你可能会发现什么都抓不出来。
当然,上面这个图也什么都抓不出来,因为根本没有网络波动,不难猜那条Traffic下面的横线代表的是网络波动,就像心电图一样。

好,不管它,选好之后打开。


wireshark抓包界面介绍

wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨

说明:数据包列表区中不同的协议使用了不同的颜色区分。协议颜色标识定位在菜单栏View –> Coloring Rules,反正我是没那兴趣去改来改去的。


Wireshark过滤器

开始之后,会看到一堆有一堆的包开始刷刷刷的,快得很:
wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨

那我们怎么找我们想要的呢?过滤嘛。

为避免其他无用的数据包影响分析,可以通过在过滤栏设置过滤条件进行数据包列表过滤,获取结果如下。
说明:ip.addr == 192.168.76.26 and icmp 表示只显示ICPM协议且源主机IP或者目的主机IP为192.168.76.26的数据包。

wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨

1)捕获过滤器

捕获过滤器的菜单栏路径为Capture –> Capture Filters。用于在抓取数据包前设置。
wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨

当然,还不了解抓包语法的情况下,这只是先说一声儿这里有个设置罢了。


显示过滤器

显示过滤器是用于在抓取数据包后设置过滤条件进行过滤数据包。通常是在抓取数据包时设置条件相对宽泛,抓取的数据包内容较多时使用显示过滤器设置条件顾虑以方便分析。

wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨


过滤器语法

不同版本可能语法会有点不一样,但是差别不大,可以自行摸索出来,所以我就放一份儿。

1)协议过滤

比较简单,直接在抓包过滤框中直接输入协议名即可。

(注意:协议名称需要输入小写)

  TCP,只显示TCP协议的数据包列表

  HTTP,只查看HTTP协议的数据包列表

  ICMP,只显示ICMP协议的数据包列表 

以及其他协议,可以在抓包窗口中看到其他协议的协议名。至于想要深入了解这些协议,请移步:《TCP/IP卷一》,书可以自己找,也可以私信我拿,或者下面评论。

2)IP过滤

请带上 ip.

 host 192.168.1.104

  src host 192.168.1.104

  dst host 192.168.1.104

ip.完之后会有很多选项,上面这些只是常用的,而且具体怎么写,看软件的提示。

3)端口过滤

请带上tcp. 或者 udp.

  port 80

  src port 80

  dst port 80

同样的,点完会有很多选项出来,请服从软件提示。

4)逻辑运算符&& 与、|| 或、!非

  src host 192.168.1.104 && dst port 80 抓取主机地址为192.168.1.80、目的端口为80的数据包

  host 192.168.1.104 || host 192.168.1.102 抓取主机为192.168.1.104或者192.168.1.102的数据包

  !broadcast 不抓取广播数据包

一些实例

 tcp,只显示TCP协议的数据包列表

  http,只查看HTTP协议的数据包列表

  icmp,只显示ICMP协议的数据包列表
  ip.src ==192.168.104.10 显示源地址为192.168.104.10的数据包列表

   ip.dst==192.168.104.10, 显示目标地址为192.168.104.10的数据包列表

   ip.addr == 192.168.104.10 显示源IP地址或目标IP地址为192.168.104.10的数据包列表
  tcp.port ==80,  显示源主机或者目的主机端口为80的数据包列表。

  tcp.srcport == 80,  只显示TCP协议的源主机端口为80的数据包列表。

  tcp.dstport == 80,只显示TCP协议的目的主机端口为80的数据包列表。

5)Http模式过滤

http.request.method==“GET”, 只显示HTTP GET方法的。

注意,这里GET要大写。

6)数据包内容过滤

比方说:
wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨


实例:wireshark分析TCP包

1、启动wireshark抓包工具
2、浏览器访问一个网站,比方说:www.baidu.com
3、打开终端,ping这个网址,找到它的IP地址
wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨

接着,进入抓包工具,过滤出这个网址的包

wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨

可以看到啊,这里握手了有分手,分手了又握手,看来是短连接。


至于握手分手细节,想了解的话:详解TCP三次握手与四次挥手


其他

使用图表

图形分析是数据分析中必不可少的一部分。也是wireshark的一大亮点。wireshark有不同的图形展现功能,以帮助你了解捕获的数据包。下面我们对经常使用的IO图,双向时间图做下介绍。
IO图

wireshark的IO图让你可以对网络上的吞吐量绘图。让你了解网络数据传输过程中的峰值和波动情况。通过“Statistics”菜单中的“IO Graphs”选项可以打开这个IO图对话框。如下图:
wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨

参数都可以调的。


页面小tips

左边的实线连起来的表示同一次会话发生的各个阶段。
wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨

HTTP请求选中后,能够看到对应的请求和响应。
wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨

Wireshark会帮我们将多次请求合并。
wireshark简明教程,新手专用,挑实在的讲,不搞花里胡哨

在选中的项目上右键选择Follow->HTTP Stream可以将这次请求的所有相关的请求列出,帮助我们快速过滤。

and so on.

期待后期再探索吧!!!


喜欢 (0)