wireshark安裝使用與tcpdump的抓包分析
前言
哎，還是得說點廢話了，為啥我大半年沒有出現實在不是我不願意寫而是真的沒有時間寫。天天加班累成狗。寫這一篇部落格的前景是因為在做測試的過程當中遇到了要使用wireshark和tcpdump工具的場景，而且正好以前用的很多東西有點手生，給自己留一篇筆記，方便以後查閱。
環境介紹
系統環境：
這裡所使用的
# uname -r
3.10.0-123.el7.x86_64
# cat /etc/redhat-release
CentOS Linux release 7.0.1406 (Core)
# uname -a
Linux xlcarity.example.org 3.10.0-123.el7.x86_64 #1 SMP Mon Jun 30 12:09:22 UTC 2014 x86_64 x86_64 x86_64 GNU/Linuxrepo源：
這裡使用的都是centos系統自帶的repo源，安裝wireshark主要使用到的repo源有兩個，一個是base源一個是epel源。如果你的實驗環境網路條件不好的話，建議使用阿里的repo源。這裡給出一個出自於2017年阿里的base源和epel原始檔。有愛自取，因為有點偏題了。
epel源的檔案
[epel]
name=Extra Packages for Enterprise Linux 7 - $basearch
baseurl=http://mirrors.aliyun.com/epel/7/$basearch
http://mirrors.aliyuncs.com/epel/7/$basearch
#mirrorlist=https://mirrors.fedoraproject.org/metalink?repo=epel-7&arch=$basearch
failovermethod=priority
enabled=1
gpgcheck=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-7
[epel-debuginfo]
name=Extra Packages for Enterprise Linux 7 - $basearch - Debug
baseurl=http://mirrors.aliyun.com/epel/7/$basearch/debug
http://mirrors.aliyuncs.com/epel/7/$basearch/debug
#mirrorlist=https://mirrors.fedoraproject.org/metalink?repo=epel-debug-7&arch=$basearch
failovermethod=priority
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-7
gpgcheck=0
[epel-source]
name=Extra Packages for Enterprise Linux 7 - $basearch - Source
baseurl=http://mirrors.aliyun.com/epel/7/SRPMS
http://mirrors.aliyuncs.com/epel/7/SRPMS
#mirrorlist=https://mirrors.fedoraproject.org/metalink?repo=epel-source-7&arch=$basearch
failovermethod=priority
enabled=0
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-7
gpgcheck=0base原始檔：
[base]
name=CentOS-$releasever - Base - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos/$releasever/os/$basearch/
http://mirrors.aliyuncs.com/centos/$releasever/os/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=os
gpgcheck=1
gpgkey=http://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7
#released updates
[updates]
name=CentOS-$releasever - Updates - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos/$releasever/updates/$basearch/
http://mirrors.aliyuncs.com/centos/$releasever/updates/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=updates
gpgcheck=1
gpgkey=http://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7
#additional packages that may be useful
[extras]
name=CentOS-$releasever - Extras - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos/$releasever/extras/$basearch/
http://mirrors.aliyuncs.com/centos/$releasever/extras/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=extras
gpgcheck=1
gpgkey=http://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7
#additional packages that extend functionality of existing packages
[centosplus]
name=CentOS-$releasever - Plus - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos/$releasever/centosplus/$basearch/
http://mirrors.aliyuncs.com/centos/$releasever/centosplus/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=centosplus
gpgcheck=1
enabled=0
gpgkey=http://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7
#contrib - packages by Centos Users
[contrib]
name=CentOS-$releasever - Contrib - mirrors.aliyun.com
failovermethod=priority
baseurl=http://mirrors.aliyun.com/centos/$releasever/contrib/$basearch/
http://mirrors.aliyuncs.com/centos/$releasever/contrib/$basearch/
#mirrorlist=http://mirrorlist.centos.org/?release=$releasever&arch=$basearch&repo=contrib
gpgcheck=1
enabled=0
gpgkey=http://mirrors.aliyun.com/centos/RPM-GPG-KEY-CentOS-7安裝wireshark
首先配置好yum源之後使用yum search命令看看是否能夠檢視到wireshark的安裝包。這裡我們要使用的安裝包主要有兩個，一個是wireshark.x86_64，另外一個是wireshark-gnome.x86_64。
# yum search all wireshark
已載入外掛：fastestmirror, langpacks
Loading mirror speeds from cached hostfile
* base: mirrors.aliyun.com
* epel: mirrors.aliyun.com
* extras: mirrors.shu.edu.cn
* updates: mirrors.aliyun.com
======================================================= 匹配：wireshark =======================================================
wireshark-devel.i686 : Development headers and libraries for wireshark
wireshark-devel.x86_64 : Development headers and libraries for wireshark
wireshark-gnome.x86_64 : Gnome desktop integration for wireshark
wireshark.i686 : Network traffic analyzer
wireshark.x86_64 : Network traffic analyzer
derrick.x86_64 : A Simple Network Stream Recorder
samba-pidl.noarch : Perl IDL compiler
#yum install wireshark
#yum install wireshark-gnome.x86_64
wireshark使用
完成了上述安裝步驟之後在命令列輸入wireshark命令則會彈出圖形化視窗。
wireshark會自動檢測到本地主機上的網路介面，選擇你想監聽的埠然後點選start，wireshark就會開始捕捉這個介面上的收發包。這裡我們練習演示選擇一個帶172.16.20.0/24的網段的網口進行監聽。選擇好網路卡口之後就可以點選start進行埠偵聽。
這裡我們擷取一個包的詳細資訊進行檢視。封包每一行的詳細資訊從上到下分別為：
Fram：物理層資料幀
Ethernet II：資料鏈路層乙太網幀頭資訊，這裡主要可以檢視到源mac地址和目的mac地址
Internet Protocol Version 4：網路層IP包頭資訊
User Datagram Protocol：UDP協議包資訊
Service Location Protocol：SLP服務定位協議資訊
針對不同的包，封包協議的資訊不盡相同，熟悉七層網路協議就知道wireshark抓取的包中詳細資訊每一行都會對應到七層網路協議中的每一層。例如抓取一個IPMI通訊協議包它的包結構就如下：
對比一下上圖中抓取的包就能明顯看到多了很多IPMI協議的資訊封裝在包中。
Remote Management Control Protocol：簡稱RMCP協議，遠端管理控制協議，遠端模式下IPMI基於RMCP協議實現，RMCP屬於UDP協議。
IPMI v2.0+ session Wrapper：基於IPMI v2.0協議的建立的會話
Data：該包中傳輸的資料
tcpdump抓包與分析
在面對雲端計算運用相當成熟的階段，wireshark工具明顯的顯示出了自己的不足。在面對虛機網路裝置和虛擬二三層網路時，只針對物理裝置抓包的wireshark顯示出了自己的短板。因為tcpdump要講和能講的東西太多了，秉著用什麼學什麼記什麼的原則。這裡主要講述下我常用tcpdump的一些命令。
至於tcp的詳細引數可以檢視man手冊和線上連結：
http://www.tcpdump.org/tcpdump_man.html
========
過濾主機
--------
- 抓取所有經過 eth1，目的或源地址是 192.168.1.1 的網路資料
# tcpdump -i eth1 host 192.168.1.1
- 源地址
# tcpdump -i eth1 src host 192.168.1.1
- 目的地址
# tcpdump -i eth1 dst host 192.168.1.1
過濾埠
--------
- 抓取所有經過 eth1，目的或源埠是 25 的網路資料
# tcpdump -i eth1 port 25
- 源埠
# tcpdump -i eth1 src port 25
- 目的埠
# tcpdump -i eth1 dst port 25網路過濾
--------
# tcpdump -i eth1 net 192.168
# tcpdump -i eth1 src net 192.168
# tcpdump -i eth1 dst net 192.168
協議過濾
--------
# tcpdump -i eth1 arp
# tcpdump -i eth1 ip
# tcpdump -i eth1 tcp
# tcpdump -i eth1 udp
# tcpdump -i eth1 icmp
儲存報文，例如儲存到tmp目錄裡，檔名為packet.pcap
-------
#tcpdump –w /tmp/packet.pcap
當然上述這些只是命令的正常使用操作，讓我覺得它強大的地方在於對虛擬網路抓包和問題定位分析。這裡可以配合虛擬路由空間來定位某個tap裝置是否有正常的接受我想要的包。舉個栗子：
虛擬路由ID：38260b49-a848-45b3-89e3-06e5b57e1bf6
虛機網路卡的tap裝置號：qr-8f925cf2-13
在計算節點上執行該命令，用於檢視該虛擬機器能否接收到源主機IP為192.168.2.3的包
ip netns exec vrouter-38260b49-a848-45b3-89e3-06e5b57e1bf6 tcpdump -nn -i qr-8f925cf2-13 src host 192.168.2.3tcpdump與wireshark配合使用
tcpdump雖說可以抓取包，但是有一個不方便的地方就是讀取包真的很費勁，這個時候就可以把tcpdump抓取的包儲存到一個檔案中，通過wireshark開啟檔案來檢視抓取的報文。
示例：
被抓取機器的IP為：172.16.20.30
使用tcpdump抓取包的機器IP為：172.16.20.202
使用命令如下：
#tcpdump -i eno16780032 src host 172.16.20.30 -w /tmp/packet.pcap
回車後開始抓包，停止抓包則按control+C，如下圖可以看到成功抓到了1549個報文，並將報文儲存在tmp目錄裡，檔名為packet.pcap.
之後通過wireshark 開啟報文，命令如下，這樣就捕獲了源ip是172.16.20.30傳送過來的報文.
相關文章
- 使用tcpdump+wireshark抓包分析網路資料包TCP
- 使用WireShark抓包分析TCP協議TCP協議
- tcpdump抓包分析NAT ping不通TCP
- tcpdump抓包TCP
- UDP協議抓包分析 -- wiresharkUDP協議
- wireshark抓包新手使用教程
- wireshark使用-----拆分抓包檔案
- iOS Wireshark抓包iOS
- 在 Linux 命令列中使用 tcpdump 抓包Linux命令列TCP
- wireshark抓包學習
- Wireshark網路抓包
- Ubuntu 上 Wireshark 的安裝與使用Ubuntu
- 說說Linux抓包命令tcpdumpLinuxTCP
- 利用Wireshark抓包分析DNS域名解析過程DNS
- tcpdump 和 wireshark 抓包工具 ，介紹、安裝、命令使用。 詳解三次握手、四次揮手。兩個結合使用，會更好分析報文TCP
- Wireshark抓包工具解析HTTPS包HTTP
- 記一次wireshark抓包
- ? 如何用 wireshark 抓包 TLS 封包TLS
- wireshark抓包之追蹤流
- SSH 協議基本原理及 wireshark 抓包分析協議
- Https、SSL/TLS相關知識及wireShark抓包分析HTTPTLS
- WireShark抓包分析以及對TCP/IP三次握手與四次揮手的分析TCP
- 最簡明的 Tcpdump 抓包入門指南TCP
- Wireshark的簡單抓包QQ的過程
- tcpdump抓包及tshark解包方法介紹TCP
- 《熬夜整理》保姆級系列教程-玩轉Wireshark抓包神器教程(2)-Wireshark在Windows系統上安裝部署Windows
- linux模擬HID USB裝置及wireshark USB抓包配置Linux
- 實戰：tcpdump抓包分析三次握手四次揮手TCP
- Centos7安裝(四)抓包工具wireshark原始碼編譯安裝CentOS原始碼編譯
- Wireshark抓包分析TCP“三次握手，四次揮手”TCP
- 通過Wireshark抓包分析談談DNS域名解析的那些事兒DNS
- 記一次簡單的wireshark抓包TCPTCP
- windows下抓包工具whistle的安裝與使用Windows
- 瞭解使用wireshark抓包工具
- tcpdump抓包mysql建聯驗證TCP的三次握手TCPMySql
- BLE抓包分析
- wireshark抓包curl傳送http2請求HTTP
- [網路]從wireshark抓包看百度的https流程HTTP