wireshark抓包详细图文教程

### Wireshark抓包详细图文教程 #### 一、Wireshark简介及基本操作 **Wireshark**是一款强大的开源网络封包分析软件，能够实时捕捉网络封包，并且能够详细展示每一层的网络协议信息。它对于网络工程师、安全分析师、开发人员等专业人士来说非常有用，可以帮助他们调试网络应用程序、解决网络问题、分析网络安全漏洞等。 #### 二、Wireshark启动及网卡选择 当你启动Wireshark后，首先会进入**开始界面**。如果您的计算机上有多个网络接口（网卡），Wireshark会列出所有可用的网络接口供您选择。点击“Capture”菜单下的“Interfaces...”，会出现一个对话框，其中列出了所有可捕获流量的网络接口。选择正确的网卡后，点击“Start”按钮即可开始抓包。 #### 三、Wireshark界面介绍 WireShark的界面主要由以下几个部分组成： 1. **Display Filter (显示过滤器)**：用于过滤显示哪些封包。 2. **Packet List Pane (封包列表)**：显示所有捕获到的封包信息，包括源地址、目标地址和端口号等。 3. **Packet Details Pane (封包详细信息)**：显示选定封包中的具体字段信息。 4. **Dissector Pane (十六进制数据)**：显示选定封包的十六进制形式。 5. **Miscellaneous (杂项)**：包括地址栏等其他辅助功能。 #### 四、使用过滤器 **过滤器**是Wireshark中最强大的功能之一，它可以帮我们从大量的数据中快速找到所需的信息。Wireshark提供了两种类型的过滤器： 1. **显示过滤器**：在主界面的过滤栏中设置，用于筛选已捕获的封包。 2. **捕获过滤器**：在“Capture”菜单下的“Capture Filters”选项中设置，用于控制哪些封包会被捕获。 ##### 过滤器的使用示例： - **协议过滤**：如`TCP`仅显示TCP协议相关的封包。 - **IP过滤**：如`ip.src == 192.168.1.102`显示源IP地址为192.168.1.102的封包；`ip.dst == 192.168.1.102`显示目的IP地址为192.168.1.102的封包。 - **端口过滤**：如`tcp.port == 80`显示端口为80的封包；`tcp.srcport == 80`仅显示源端口为80的TCP封包。 - **HTTP模式过滤**：如`http.request.method == "GET"`仅显示HTTP GET请求方法的封包。 - **逻辑运算符**：AND (`&&`) 和 OR (`||`) 可以组合多个过滤条件。 #### 五、保存过滤器 在过滤栏上填写过滤表达式后，可以点击“Save”按钮进行保存，例如命名为“Filter102”。这样以后就可以直接使用这个过滤器而无需重复设置。 #### 六、封包列表 (Packet List Pane) 在封包列表中，可以看到每个封包的编号、时间戳、源地址、目标地址、协议类型、长度以及简要信息。不同协议的封包会有不同的颜色显示。此外，可以通过“View”菜单下的“Coloring Rules”自定义显示颜色的规则。 #### 七、封包详细信息 (Packet Details Pane) 这是查看封包中每个字段信息的重要面板。每一行通常对应着不同的协议层信息： - **Frame**：物理层的数据帧概况。 - **Ethernet II**：数据链路层以太网帧头部信息。 - **Internet Protocol Version 4**：互联网层IP包头部信息。 - **Transmission Control Protocol**：传输层TCP的数据段头部信息。 - **Hypertext Transfer Protocol**：应用层的HTTP协议信息。 #### 八、TCP三次握手实例 通过Wireshark可以直观地观察到TCP三次握手的过程： 1. **第一次握手**：客户端发送一个TCP数据包，其标志位为SYN，序列号为0，表示请求建立连接。 2. **第二次握手**：服务器发回确认包，标志位为SYN和ACK，将确认序号设置为客户机的序列号加1，即0+1=1。 3. **第三次握手**：客户端再次发送确认包（ACK）标志位为0和ACK，把服务器发来的ACK序号字段+1，放在确认字段中发送给对方，并且在数据段放置自己的序列号+1。 #### 九、常用过滤表达式 - `http`：只查看HTTP协议的记录。 - `ip.src == 192.168.1.102 or ip.dst == 192.168.1.102`：源地址或目标地址为192.168.1.102。 以上是对Wireshark抓包过程及基本使用的详细介绍。希望这篇教程能帮助你更好地掌握Wireshark的使用技巧。