wireshark的使用入门

一、功能、下载与安装

Wireshark是非常流行的网络封包分析软件，功能十分强大。
 可以截取各种网络封包，显示网络封包的详细信息。
 Wireshark是开源软件。
 可以运行在Windows和Mac OS上。
 只能查看封包，而不能修改封包的内容，或者发送封包。
 Wireshark的官方下载网站：
http://www.wireshark.org/
 中文用户手册：
http://man.lupaworld.com/content/network/wireshark/index.html

二、Wireshark的实现原理

1、捕获二进制流量
2、转换 wireshark组装数据包
3、分析 捕获的数据包，识别协议等信息。

三、基本操作

1、页面介绍

 Display Filter(显示过滤器)，用于过滤
 Packet List Pane(封包列表)， 显示捕获到的封包， 有源地址和目标地址，端口号。
 Packet Details Pane(封包详细信息), 显示封包中的字段
 Dissector Pane(16进制数据)
 Miscellanous(地址栏，杂项)

---

Frame: 物理层的数据帧概况
Ethernet II: 数据链路层以太网帧头部信息
Internet Protocol Version 4: 互联网层IP包头部信息
Transmission Control Protocol: 传输层TCP的数据段头部信息
Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协议

2、过滤器操作

在Wireshark中有两种过滤器。

• 显示过滤器（Display Filter)：在抓包之前或者完成抓包之后都可，不影响抓包，只是方便查看。

• 捕获过滤器：用来过滤捕获的封包，以免捕获太多的记录。 在菜单Capture（捕获） -> Capture Filters （捕获过滤器）中设置。在抓包之前设置，让Wireshark只抓取过滤器指定的包。

---

---

过滤表达式的规则

• 协议过滤：比如TCP，只显示TCP协议。http, 只显示http协议
• IP 过滤：比如 ip.src 192.168.1.102 显示源地192.168.1.102，
  ip.dst192.168.1.102, 目标地址192.168.1.102
   端口过滤：tcp.port ==80, 端口为80的tcp.srcport == 80, 只显示TCP协议的愿端口为80的。
• Http模式过滤：http.request.method==“GET”, 只显示HTTP GET方法的。
• 逻辑运算符为 AND/ OR。
• 过滤表达式 //用途
  http // 只查看HTTP协议的记录
  ip.src 192.168.1.102 or ip.dst192.168.1.102 // 源地址或者目标地址是192.168.1.102

---

抓包模式
在开始抓包之前还可修改Wireshark的抓包选项。通过工具栏或者菜单Capture->Options 打开抓包选项设置界面。这里可以设置很多选项，我们这里介绍一下 混杂模式 和 非混杂模式。

• 混杂模式：抓取经过网卡的所有数据包，包括发往本网卡和非发往本网卡的。
• 非混杂模式：只抓取目标地址是本网卡的数据包，对于发往别的主机而经过本网卡的数据包忽略。