在成功地在系统中装好了Wireshark之后，你就可以开始学习使用它了。当你终于打开了这个功能强大的数据包嗅探器时，会发现你什么都看不见！

好吧，Wireshark在刚打开的时候确实不太好玩，只有在拿到一些数据之后事情才会变得有趣起来。

3.4.1　第一次捕获数据包

为了能让Wireshark得到一些数据包，你可以开始第一次数据包捕获实验了。你可能会想：“当网络什么问题也没有的时候，怎么能捕获数据包呢？”

第一，网络总是有问题的。如果你不相信，那么请给你网络上所有的用户发一封邮件，告诉他们一切都工作得非常好。

第二，数据包分析并不一定要等到有问题的时候再做。事实上，大多数的数据包分析员在分析没有问题的网络流量上花费的时间要比解决问题的时间多。为了能高效地解决网络问题，你也同样需要得到一个基准来与之对比。举例来说，如果你想通过分析网络流量来解决关于DHCP的问题，那么你至少需要知道DHCP在正常工作时的数据流是什么样子的。

更广泛地讲，为了能够发现日常网络活动的异常，你必须对日常网络活动的情况有所掌握。当你的网络正常运行时，以此作为基准，就能知道网络流量在正常情况下的样子。

闲言少叙，让我们来捕获一些数据包吧！

（1）打开Wireshark。

（2）从主下拉菜单中选择Capture，然后是Interface。

这时你应该可以看到一个对话框，里面列出了你可以用来捕获数据包的各种设备，以及它们的IP地址。

（3）选择你想要使用的设备，如图3-4所示，然后单击Start，或者直接单击欢迎画面中Interface List下的某一个设备。随后数据就会在窗口中呈现出来。

图3-4　选择你想要进行数据包捕获的端口

（4）等上l min左右，当你打算停止捕获并查看你的数据的时候，在Capture的下拉菜单中单击Stop按钮即可。

当你做完了以上步骤并完成了数据包的捕获时，Wireshark的主窗口中应该已经呈现了相应的数据，但此时你可能对于那些数据的规模感到头疼，这也就是我们把Wireshark一整块的主窗口进行拆分的原因。

3.4.2　Wireshark主窗口

Wireshark的主窗口将你所捕获的数据包拆分并以更容易使人理解的方式呈现出来，它也将是你花费时间较多的地方。我们使用刚刚捕获的数据包来介绍一下Wireshark的主窗口，如图3-5所示。

主窗口的3个面板之间有着互相的联系。如果希望在Packet Details面板中查看一个单独的数据包的具体内容，那么你必须在Packet List面板中单击选中那个数据包。在选中了数据包之后，你可以在Packet Details面板中选中数据包的某个字段，从而在Packet Bytes面板中查看相应字段的字节信息。

注意

　

图3-5中的Packet List面板中列出了几种不同的协议，但这里并没有使用不同的层次来对不同的协议进行视觉上的区分，所有的数据包都是按照其在链路上接收到的顺序排列的。

图3-5　Wireshark主窗口的设计使用了3个面板

下面介绍了每个面板的内容。

Packet List（数据包列表）：这个最上面的面板用表格显示了当前捕获文件中的所有数据包，其中包括了数据包序号、数据包被捕获时的相对时间、数据包的源地址和目标地址、数据包的协议以及在数据包中找到的概况信息等列。

注意

　

当文中提到流量的时候，我通常是指Packet List面板中所有呈现出来的数据包，而当特别地提到DNS流量时，我指的是Packet List面板中DNS协议的数据包。

Packet Details（数据包细节）；这个中间的面板分层次地显示了一个数据包中的内容，并且可以通过展开或是收缩来显示这个数据包中所捕获到的全部内容。

Packet Bytes（数据包字节）；这个最下面的面板可能是最令人困惑的，因为它显示了一个数据包未经处理的原始样子，也就是其在链路上传播时的样子。这些原始数据看上去一点都不舒服而且不容易理解。

3.4.3　Wireshark首选项

Wireshark提供一些首选项设定可以让你根据需要进行定制。如果需要设定Wireshark首选项，那么需要在主下拉菜单中选择Edit并单击Preferences，然后你便可以看到一个首选项的对话框，里面有一些可以定制的选项，如图3-6所示。

图3-6　你可以使用Preferences对话框中的选项自定义Wireshark的配置

Wireshark首选项分为6个主要部分，外加1个高级选项。

Appearance（外观）：这些选项决定了Wireshark将如何显示数据。你可以根据个人喜好对大多数选项进行调整，比如是否保存窗口位置、3个主要窗口的布局、滚动条的摆放、Packet List面板中列的摆放、显示捕获数据的字体、前景色和背景色等。

Capture（捕获）：这些选项可以让你对于自己捕获数据包的方式进行特殊设定，比如你默认使用的设备、是否默认使用混杂模式、是否实时更新Packet List面板等。

Filter Expressions（过滤器表达式）：在之后的章节里我们将探讨 Wireshark 是如何让你基于设定标准去过滤流量的。这个部分中的选项可以让你生成和管理这些过滤器。

Name Resolutions（名称解析）：通过这些设定，你可以开启Wireshark将地址（包括MAC、网络以及传输名称解析）解析成更加容易分辨的名字这一功能，并且可以设定并发处理名称解析请求的最大数目。

Protocols（协议）：这个部分中的选项可以让你调整关于捕捉和显示各种Wireshark解码数据包的功能。虽然并不是针对每一个协议都可以进行调整，但是有一些协议的选项可以进行更改。除非你有特殊的原因去修改这些选项，否则最好保持它们的默认值。

Statistics（统计）：这一部分提供了Wireshark中统计功能的设定选项。在第5章节我们会对之进行更深入的学习。

Advanced（高级）：在以上6个部分中没有做的设置会被归类到这里。通常这些设置只有Wireshark的高级用户才会去修改。

3.4.4　数据包彩色高亮

如果你像我一样喜欢五颜六色的物体，那么你应该会对Packet List面板中那些不同的颜色感到兴奋。如图3-7所示（虽然图示是黑白的，但你应该可以理解的），那些颜色看上去就像是随机分配给每一个数据包的，但其实并不是这样的。

图3-7　Wireshark的彩色高亮有助于快速标识协议

每一个数据包的颜色都是有讲究的，这些颜色对应着数据包使用的协议。举例来说，所有的DNS流量都是蓝色的，而HTTP流量都是绿色的。将数据包进行彩色高亮，可以让你迅速将不同协议的数据包分开，而不需要查看每个数据包的Packet List面板中的协议列。你会发现这样做在浏览较大的捕获文件时，可以极大地节省时间。

如图3-8所示，Wireshark通过Coloring Rules（着色规则）窗口可以轻松地查看每个协议所对应的颜色。如果想要打开这个窗口，那么可以在主下拉菜单中选择View并单击Coloring Rules。

你可以创建你自己的着色规则，或者修改已有设置。举例来说，使用下列步骤可以将HTTP流量绿色的默认背景改成淡紫色。

（1）打开Wireshark，并且打开Coloring Rules窗口（View->Coloring Rules）。

（2）在着色规则的列表中找到HTTP着色规则并单击选中。

（3）单击Edit按钮，你会看到一个Edit Color Filter窗口，如图3-9所示。

图3-8　你可以在Coloring Rules窗口中查看并更改数据包的着色

 

图3-9　在编辑着色过滤器时，前景色和背景色都可以进行更改

（4）单击Background Color按钮。

（5）使用颜色滚轮选择一个你希望使用的颜色，然后单击OK。

（6）再次单击OK来应用改变，并回到主窗口。主窗口此时应该已经重载，并使用了更改过的颜色样式。

当在网络上使用Wireshark时，可能会发现你处理某个协议的工作要比其他协议多得多。这时彩色高亮的数据包能让你的工作更加方便。举例来说，如果你觉得你的网络上有一个恶意的DHCP服务器在分发IP，那么你可以简单地修改DHCP协议的着色规则，使其呈现明黄色（或者其他易于辨认的颜色）。这可以使你更快地找出所有DHCP流量，并让你的数据包分析工作更具效率。你还可以通过基于定制的过滤器创建着色规则，来扩展这些着色规则的使用。

注意

　

就在前不久，我在给本地一群学生展示Wireshark的着色规则时，有一名学生是色盲，但他通过修改着色规则分辨出了以前无法分辨出的协议。这说明了修改着色规则的功能对视觉残障人士提供了一定程度上的可用性。

3.4.5　配置文件

当我们想直接修改设置时，明确Wireshark 在哪里储存配置文件是很有帮助的。要想找到该文件，你可以在主下拉菜单中单击Help并选择About Wireshark，然后单击Folders标签卡。该窗口如图3-10所示。

图3-10　定位Wireshark配置文件的位置

Wireshark个性化设置最重要的两个位置是个人和全局设置目录。全局设置目录包含着所有默认的配置选项。个人设置目录只包含了针对你账户的配置选项。任何你所做的新配置都将会使用你提供的名字并储存在个人配置文件夹的子目录里。

全局和个人配置目录的区别是重要的，因为任何有关全局设置的改变都将会影响到每一个在该系统中使用Wireshark的用户。

3.4.6　配置方案

学习了Wireshark 的参数配置后，有些时候会发现你在使用一种配置方案但很快又要切换到另一种配置方案的应用场景。其实我们没必要每次都重新手动设置这些选项，Wireshark 引入了个性化配置方案，让用户可以保存一组配置。

一个配置方案储存了下面的设置。

• Preferences 参数选项。
• Capture filters 捕获过滤器。
• Display filters 显示过滤器。
• Coloring rules 着色规则。
• Disabled protocols 已禁用的协议。
• Forced decodes 强制解码。
• Recent settings 最近设置，比如窗格大小、菜单设置和列宽。
• Protocol-specific tables针对特定协议的表格，例如SNMP用户和自定义HTTP头。

要查看配置方案列表，可以在主下拉菜单单击Edit，并选择 Configuration Profiles 选项。另一种办法是在屏幕的右下角单击右键并选择Manage Profiles选项。当处在配置方案的那个窗口时，你将会看到Wireshark的预设配置方案，它包含了如图3-11所示的“缺省”、“蓝牙”和“经典”方案。其中“Latency Investigation”方案是我自定义的方案，它被显示为正体，而其他系统全局或默认的方案被显示为斜体。

图3-11　查看配置方案

配置方案窗口可以让你创建、复制、删除和应用配置方案。创建一个新的配置方案是非常简单的。

（1）把Wireshark设置成你想要储存的配置。

（2）在主下拉菜单单击 Edit，并选择 Configuration Profiles 选项，以调出配置方案窗口。

（3）单击加号（+）按钮并且给该方案取名。

（4）单击 OK。

当你想切换配置方案时，在配置方案窗口下选择方案名，然后单击 OK 即可。有一种更快的方法，就是在屏幕的右下角单击配置文件，然后直接选择你想要的那个方案，如图3-12所示。

图3-12　快速转换配置方案

其中一个特别有用的特性就是，每个配置方案都会储存在单独的目录中，这意味着你可以方便地备份和共享给其他人。在图3-10所示的 folders 标签卡下提供了全局和个人配置文件的路径。你只要把那个配置方案的整个目录复制到相同的路径下，就可以把当前配置共享给其他计算机了。

当继续往下读这本书的时候，你也许会需要去创建一些特别的配置方案，来解决常见问题、查找网络延迟的源头和调查安全问题。别被频繁切换配置方案吓着。恰恰相反，这可是很省时间的技巧。我知道很多高手有一堆不同的配置方案用来应对不同的场景。

现在你的Wireshark应该已经安装好并运行起来了，你已经准备好进行数据包的分析了。在下一章中，我们将详细讲述如何处理你所捕获的数据包。

---

[1]　肯塔基州是美国的一个内陆州。——译者注

本文摘自《Wireshark数据包分析实战（第3版）》

 

本书的前半部分介绍了理解数据包分析和Wireshark所需的知识，而后半部分则将重心放在了实践案例上，你在日常的网络管理中经常会遇到这些案例中出现的情况。

无论你是网络技术人员、网络管理员、首席信息官、桌面工程师，还是网络安全分析师，在理解并使用本书中讲解的数据包分析技术时，都会让你受益匪浅。