wireshark入门（一）

wireshark的使用

一、 wireshark入门
网络流量捕获和分析的软件,Ethereal 是wireshark的前身。
原理：捕获硬件的二进制流量，转换wireshark组装数据包，分析捕获的数据包、识别协议等信息。
优势：开源免费，跨平台，可视化，功能强大。
基本使用：
1、选择网卡

2、捕获数据流量
选择网卡后双击网卡或者点击start capturing packets按钮开始捕获数据流量

3、过滤数据包
点击expression,在search拦当中输入tcp(小写),过滤TCP数据包。

4、保存数据包。
点击右上角红色按钮，停止抓包。
点击file–>save as–>desktop 将文件存为以.pcap结尾的文件。以后想要分析的时候可以直接打开。
二、伯克利过滤法
1、介绍

2、捕获过滤

也遵循伯克利过滤规则。
过滤目标端口为80的数据包:
ping本机的时候，不会捕获到任何数据包
过滤源地址192.168.40.1的数据包
3、筛选过滤
过滤ip:在过滤栏输入ip.addr == 10.0.0.1（表示范围时：10.0.0.1/24）
或者ip.scr == 10.0.0.1
或者ip.dst == 10.0.0.1
过滤端口：
tcp.port ==80
udp.port == 80
过滤ip和过滤端口结合：
tcp.port ==80 and ip.scr ==10.0.0.1

也可以点击expression设置过滤：
也可以在细节面板设置：
三、wireshark捕获输出与杂项设置