wireshark抓包分析

wireshark是非常流行的網路封包分析軟體，功能十分強大。可以抓取各種網路包，並顯示網路包的詳細資訊。

開始介面

wireshark是捕獲機器上的某一塊網路卡的網路包，當你的機器上有多塊網路卡的時候，你需要選擇一個網路卡。

點選Caputre->Interfaces.. 出現下面對話方塊，選擇正確的網路卡。然後點選"Start"按鈕, 開始抓包

Wireshark 視窗介紹

WireShark 主要分為這幾個介面

1. Display Filter(顯示過濾器)，  用於過濾

2. Packet List Pane(封包列表)， 顯示捕獲到的封包， 有源地址和目標地址，埠號。 顏色不同，代表

3. Packet Details Pane(封包詳細資訊), 顯示封包中的欄位

4. Dissector Pane(16進位制資料)

5. Miscellanous(位址列，雜項)

 

使用過濾是非常重要的， 初學者使用wireshark時，將會得到大量的冗餘資訊，在幾千甚至幾萬條記錄中，以至於很難找到自己需要的部分。搞得暈頭轉向。

過濾器會幫助我們在大量的資料中迅速找到我們需要的資訊。

過濾器有兩種，

一種是顯示過濾器，就是主介面上那個，用來在捕獲的記錄中找到所需要的記錄

一種是捕獲過濾器，用來過濾捕獲的封包，以免捕獲太多的記錄。 在Capture -> Capture Filters 中設定

儲存過濾

在Filter欄上，填好Filter的表示式後，點選Save按鈕， 取個名字。比如"Filter 102",

 

Filter欄上就多了個"Filter 102" 的按鈕。

 

過濾表示式的規則

表示式規則

 1. 協議過濾

比如TCP，只顯示TCP協議。

2. IP 過濾

比如 ip.src ==192.168.1.102 顯示源地址為192.168.1.102，

ip.dst==192.168.1.102, 目標地址為192.168.1.102

3. 埠過濾

tcp.port ==80,  埠為80的

tcp.srcport == 80,  只顯示TCP協議的願埠為80的。

4. Http模式過濾

http.request.method=="GET",   只顯示HTTP GET方法的。

5. 邏輯運算子為 AND/ OR

常用的過濾表示式

過濾表示式	用途
http	只檢視HTTP協議的記錄
ip.src ==192.168.1.102 or ip.dst==192.168.1.102	源地址或者目標地址是192.168.1.102

封包列表(Packet List Pane)

封包列表的皮膚中顯示，編號，時間戳，源地址，目標地址，協議，長度，以及封包資訊。 你可以看到不同的協議用了不同的顏色顯示。

你也可以修改這些顯示顏色的規則，  View ->Coloring Rules.

 

封包詳細資訊 (Packet Details Pane)

這個皮膚是我們最重要的，用來檢視協議中的每一個欄位。

各行資訊分別為

Frame:   物理層的資料幀概況

Ethernet II: 資料鏈路層乙太網幀頭部資訊

Internet Protocol Version 4: 網際網路層IP包頭部資訊

Transmission Control Protocol:  傳輸層T的資料段頭部資訊，此處是TCP

Hypertext Transfer Protocol:  應用層的資訊，此處是HTTP協議

 

ARP包

IP包

 

UDP包

 

TCP包

 

HTTP包

linux抓包工具tcpdump

tcpdump的選項 

· -a —— 將網路地址和廣播地址轉變成名字 

· -d —— 將匹配資訊包的程式碼以人們能夠理解的彙編格式給出 

· -dd —— 將匹配資訊包的程式碼以c語言程式段的格式給出 

· -ddd —— 將匹配資訊包的程式碼以十進位制的形式給出 

· -e —— 在輸出行列印出資料鏈路層的頭部資訊 

· -f —— 將外部的Internet地址以數字的形式列印出來 

· -l —— 使標準輸出變為緩衝行形式 

· -n —— 不把網路地址轉換成名字 

· -t —— 在輸出的每一行不列印時間戳 

· -v —— 輸出一個稍微詳細的資訊，例如在ip包中可以包括ttl和服務型別的資訊 

· -vv —— 輸出詳細的報文資訊 

· -c —— 在收到指定的包的數目後，tcpdump就會停止 

· -F —— 從指定的檔案中讀取表示式,忽略其它的表示式 

· -i —— 指定監聽的網路介面 

· -r —— 從指定的檔案中讀取包(這些包一般通過-w選項產生) 

· -w —— 直接將包寫入檔案中，並不分析和列印出來 

-T —— 將監聽到的包直接解釋為指定的型別的報文

示例

在eth2網口抓包，並把結果儲存在test.cap檔案中，然後直接用wireshark開啟該檔案就可以看見包內容。

 

歡迎大家關注我的部落格！如有疑問,請加QQ群：135430763共同學習！