Wireshark資料抓包分析(網路協議篇)第1章網路協議抓包概述

網路協議是用於不同計算機之間進行網路通訊的。網路協議是網路上所有裝置（如網路伺服器、計算機、交換機、路由器等）之間通訊規則的集合，它規定了通訊時資訊必須採用的格式和這些格式的意義。常見的協議有TCP/IP協議、IPX/SPX協議、NetBEUI協議等。本章將介紹將簡要講解TCP/IP網路協議。本文選自《Wireshark資料抓包分析(網路協議篇)》

1.1  資料抓包工具

抓包工具就是用來將網路傳輸傳送與接收的資料包進行截獲、重發、編輯、轉存等操作，也用來檢查網路安全，但也往往被某些人用來網遊作弊等。抓包工具可以在Windows、Unix等各種平臺執行網路監聽軟體，主要是針對TCP/IP協議的不安全性對執行該協議的機器進行監聽。本節將介紹資料抓包原理及工具。

1.1.1  資料抓包原理

資料在網路上以很小的稱為幀的單位傳輸的。幀由幾部分構成，不同的部分執行不同的功能。幀透過特定的稱為網路驅動程式的軟體進行成型，然後透過網路卡傳送到網線上，透過網線到達它們的目的機器，在目的機器的一端執行相反的過程。接收端機器的乙太網卡捕獲到這些幀，並告訴作業系統幀已到達，然後對其進行儲存。就在這個傳輸和接收過程中，嗅探器（抓包工具）會帶來安全方面的問題。本文選自《Wireshark資料抓包分析(網路協議篇)》

每一個在區域網（LAN）上的工作站都有其硬體地址，這些地址惟一地表示了網路上的機器（這一點與Internet地址系統比較相似）。當使用者傳送一個資料包時，如果為廣播包，則可達到區域網中的所有機器。如果為單播包，則只能到達處於同一碰撞域中的機器。

在一般情況下，網路上所有的機器都可以“聽”到透過的流量，但對不屬於自己的資料包則不予響應。換句話說，工作站A不會捕獲屬於工作站B的資料，而是簡單地忽略這些資料。如果某個工作站的網路介面處於混雜模式，那麼它就可以捕獲網路上所有的資料包和幀。

1.1.2  常用資料抓包工具——Wireshark

在計算機中，可使用的抓包工具有很多，如SmartSniff、Sniffer、HTTP Analyzer、Wireshark等。目前最常用的資料抓包工具就是Wireshark，所以本書以Wireshark抓包工具為例，捕獲各種TCP/IP協議資料包。本節將詳細介紹Wireshark工具。本文選自《Wireshark資料抓包分析(網路協議篇)》

1.Wireshark簡史

Wireshark的歷史相當久遠，其最初的版本叫做Ethereal，由畢業於密蘇里大小堪薩斯城分校電腦科學專業的Gerald Combs出於專案需要而開發，並與1998年以GNU Public Licence（GPL）開源許可證釋出。

在釋出了Ethereal 8年之後，Combs辭職另謀高就，但是在那個時候他的僱主公司掌握著Ethereal的商標權，而Combs也沒能和其僱主就取得Ethereal商標達成協議。於是Combs和整個開發團隊在2006年中的時候將這個專案重新命名為Wireshark。

Wireshark隨後迅速地取得了大眾的青睞，而其合作開發團隊也壯大到500人以上。然而之前的Ethereal專案卻再也沒有前進過一步。

2.Wireshark的優點

Wireshark在日常應用中具有許多優點，無論是針對初學者還是資料包分析專家，Wireshark都能透過豐富的功能來滿足使用者的需要。下面將介紹Wireshark的一些優點，如下所示：本文選自《Wireshark資料抓包分析(網路協議篇)》

q  支援的協議：Wireshark在支援協議的有很多，目前已經支援超過850種協議。這些協議包括從最基礎的IP協議和DHCP協議到高階的專用協議，如AppleTalk和BitTorrent等。由於Wireshark在開源模式下進行開發，每次更新都會增加一些新協議的支援。

q  使用者友好度：Wireshark的介面是資料包嗅探工具中最容易理解的工具之一。它基於GUI，並提供了清晰的選單欄和簡明的佈局。為了增強實用性，它還提供了不同協議的彩色高亮，以及透過圖形展示原始資料細節等不同功能。與tcpdump使用複雜命令列的那些資料包嗅探工具相比，Wireshark的圖形化介面對於那些資料包分析的初學者而言，是十分方便的。

q  價格：由於Wireshark是開源的，它在價格上面是無以匹敵的。Wireshark是遵循GPL協議釋出的自由軟體，任何人無論出於私人還是商業目的，都可以下載並且使用Wireshark。

q  程式支援：一個軟體的成敗通常取決於其程式支援的好壞。雖然像Wireshark這樣的自由分發軟體很少會有正式的程式支援，而是依賴於開源社群的使用者群。但是幸運的是，Wireshark社群是最活躍的開源專案社群之一。Wireshark網頁上給出了許多程式支援的相關連結，包括線上文件、支援與開發wiki、FAQ，並可以註冊Wireshark開發者都關注的郵件列表。CACE Technologes透過SharkNet專案也對外提供付費支援。

q  支援的作業系統：Wireshark對主流的作業系統都提供了支援，其中包括Windows、MAC OS X以及基於Linux的系統。本文選自《Wireshark資料抓包分析(網路協議篇)》