wireshar入门

简介

Wireshark(前身 Ethereal)是一个网络包分析工具。该工具主要是用来捕获网络数据包,并自动解析数据包,为用户显示数据包的详细信息,供用户对数据包进行分析

安装

软件下载路径:wireshark官网 按照系统版本选择下载,下载完成后,按照软件提示一路Next安装
如果是Windows系统,安装完成后,需要下载pcap兼容性安装包。下载路径:pcap兼容性安装包

抓包示例
  • 主界面


    image-37.png
  • 选择菜单栏上捕获 -> 设置,勾选网卡(这里需要根据各自电脑网卡使用情况选择,最简单的办法可以看使用的IP对应的网卡)。点击Start,启动抓包


    image-38.png
  • wireshark启动后,wireshark处于抓包状态中


    image-40.png
  • 执行需要抓包的操作,如在终端或者cmd窗口下执行ping www.baidu.com
  • 操作完成后相关数据包就抓取到了。为避免其他无用的数据包影响分析,可以通过在过滤栏设置过滤条件进行数据包列表过滤,获取结果如下。说明:ip.addr == 192.168.127.130 and icmp 表示只显示ICPM协议且源主机IP或者目的主机IP为192.168.127.130的数据包。说明:协议名称icmp要小写


    image-41.png

整个抓包过程到此就介绍了,剩下的是显示过滤条件、抓包过滤条件、以及如何查看数据包中的详细内容

抓包界面介绍
image-42.png

说明:数据包列表区中不同的协议使用了不同的颜色区分。协议颜色标识定位在视图 -> 着色规则


image-43.png
  • 显示过滤器:用于设置过滤条件进行数据包列表过滤


    image-44.png
  • 数据包列表:显示捕获到的数据包,每个数据包包含编号,时间戳,源地址,目标地址,协议,长度,以及数据包信息。 不同协议的数据包使用了不同的颜色区分显示


    image-45.png
  • 数据包详细信息:在数据包列表中选择指定数据包,在数据包详细信息中会显示数据包的所有详细信息内容。数据包详细信息面板是最重要的,用来查看协议中的每一个字段
  • Frame: 物理层的数据帧概况
  • Ethernet II: 数据链路层以太网帧头部信息
  • Internet Protocol Version 4: 互联网层IP包头部信息
  • Transmission Control Protocol: 传输层T的数据段头部信息,此处是TCP
  • Hypertext Transfer Protocol: 应用层的信息,此处是HTTP协议


    image-8.png
常见用显示过滤需求及其对应表达式

数据链路层

  1. 筛选mac地址为04:f9:38:ad:13:26的数据包—-eth.src == 04:f9:38:ad:13:26
  2. 筛选源mac地址为04:f9:38:ad:13:26的数据包—-eth.src == 04:f9:38:ad:13:26
    网络层
  3. 筛选ip地址为192.168.1.1的数据包—-ip.addr == 192.168.127.130
  4. 筛选192.168.1.0网段的数据—- ip contains “192.168.127.130”
  5. 筛选192.168.1.1和192.168.1.2之间的数据包—-ip.addr == 192.168.127.130 && ip.addr == 192.168.127.130
  6. 筛选从192.168.1.1到192.168.1.2的数据包—-ip.src == 192.168.127.130 && ip.dst == 192.168.127.130
    传输层
  7. 筛选tcp协议的数据包—-tcp
  8. 筛选除tcp协议以外的数据包—-!tcp
  9. 筛选端口为80的数据包—-tcp.port == 80
  10. 筛选12345端口和80端口之间的数据包—-tcp.port == 12345 && tcp.port == 80
  11. 筛选从12345端口到80端口的数据包—-tcp.srcport == 12345 && tcp.dstport == 80
    应用层
  12. http中http.request表示请求头中的第一行(如GET index.jsp HTTP/1.1),http.response表示响应头中的第一行(如HTTP/1.1 200 OK),其他头部都用http.header_name形式
  13. 筛选url中包含.php的http数据包—-http.request.uri contains “.php”
  14. 筛选内容包含username的http数据包—-http contains “username”
wireshark过滤器设置

wireshark抓包将会得到大量的冗余数据包列表,以至于很难找到自己需要抓取的数据包部分。wireshark工具中自带了两种类型的过滤器,学会使用这两种过滤器会帮助我们在大量的数据中迅速找到我们需要的信息

抓包过滤器

捕获过滤器的菜单栏路径为捕获 -> 捕获过滤器。用于在抓取数据包前设置


image-47.png

比如可以在抓取数据包前设置ip host 172.17.0.1 and tcp(只捕获主机IP为172.17.0.1的TCP数据包)


image-52.png

结果
image-49.png
显示过滤器

显示过滤器是用于在抓取数据包后设置过滤条件进行过滤数据包。通常是在抓取数据包时设置条件相对宽泛或者没有设置导致抓取的数据包内容较多时使用显示过滤器设置条件过滤以方便分析。同样上述场景,在捕获时未设置抓包过滤规则直接通过网卡进行抓取所有数据包


image-54.png

ping www.baidu.com获取的数据包列表如下

image-53.png

观察上述获取的数据包列表,含有大量的无效数据。这时可以通过设置显示器过滤条件进行提取分析信息。ip.addr == 192.168.127.130 and icmp进行过滤


image-55.png
wireshark过滤器表达式的规则

抓包过滤器语法:抓包过滤器类型Type(host、net、port)、方向Dir(src、dst)、协议Proto(ether、ip、tcp、udp、http、icmp、ftp等)、逻辑运算符(&& 与、|| 或、!非)

协议过滤

直接在抓包过滤框中直接输入协议名即可

  • tcp:只显示TCP协议的数据包列表
  • http:只查看HTTP协议的数据包列表
  • icmp:只显示ICMP协议的数据包列表
IP过滤
  • host 192.168.127.130
  • src host 192.168.127.130
  • dst host 192.168.127.130
端口过滤
  • port 80
  • src port 80
  • dst port 80
逻辑运算符

&& 与、|| 或、!非

  • src host 192.168.127.130 && dst port 80 抓取主机地址为192.168.127.130、目的端口为80的数据包
  • host 192.168.127.130 || host 192.168.127.102 抓取主机为192.168.127.130或者192.168.127.102的数据包
  • !broadcast 不抓取广播数据包
显示过滤器语法
  • 比较操作符:== 等于、!= 不等于、> 大于、< 小于、>= 大于等于、<=小于等于
  • 协议过滤:直接在过滤栏中直接输入协议名即可。注意:协议名称需要输入小写
    • tcp,只显示TCP协议的数据包列表
    • http,只查看HTTP协议的数据包列表
    • icmp,只显示ICMP协议的数据包列表
  • ip过滤
    • ip.src ==192.168.127.130 显示源地址为192.168.127.130的数据包列表
    • ip.dst==192.168.127.130, 显示目标地址为192.168.127.130的数据包列表
    • ip.addr == 192.168.127.130 显示源IP地址或目标IP地址为192.168.127.130的数据包列表
  • 端口过滤
    • tcp.port ==80, 显示源主机或者目的主机端口为80的数据包列表
    • tcp.srcport == 80, 只显示TCP协议的源主机端口为80的数据包列表
    • tcp.dstport == 80,只显示TCP协议的目的主机端口为80的数据包列表
  • Http模式过滤:http.request.method==”GET”, 只显示HTTP GET方法的
  • 逻辑运算符为 and/or/not:过滤多个条件组合时,使用and/or。比如获取IP地址为192.168.1.104的ICMP数据包表达式为ip.addr == 192.168.127.130 and icmp
  • 数据包内容过滤
    假设我要以IMCP层中的内容进行过滤,可以单击选中界面中的码流,在下方进行选中数据


    image-57.png

    右键点击后出现以下画面


    image-61.png

    选中后过滤器上显示如下
    image-62.png

    后面条件表达式就需要自己填写。滤data数据包中包含”abcd”内容的数据流。包含的关键词是contains 后面跟上内容
    image-63.png
Wireshark抓包分析TCP三次握手
TCP三次握手连接建立过程
  1. 客户端发送一个SYN=1,ACK=0标志的数据包给服务端,请求进行连接,这是第一次握手
  2. 服务端收到请求并且允许连接的话,就会发送一个SYN=1,ACK=1标志的数据包给发送端,告诉它,可以通讯了,并且让客户端发送一个确认数据包,这是第二次握手
  3. 服务端发送一个SYN=0,ACK=1的数据包给客户端端,告诉它连接已被确认,这就是第三次握手。TCP连接建立,开始通讯


    image-64.png
wireshark抓包获取访问指定服务端数据包
  • 启动wireshark抓包,打开终端ping www.baidu.com并获得IP地址
  • 输入过滤条件获取待分析数据包列表 ip.addr == 180.101.49.12


    image-65.png

    图中可以看到wireshark截获到了三次握手的三个数据包。第四个包是TLS的, 这说明TLS的确是使用TCP建立连接的

第一次握手数据包

客户端发送一个TCP,标志位为SYN,序列号为0, 代表客户端请求建立连接


image-66.png

image-67.png

数据包的关键属性

  1. SYN :标志位,表示请求建立连接
  2. Seq = 0 :初始建立连接值为0,数据包的相对序列号从0开始,表示当前还没有发送数据
  3. Ack =0:初始建立连接值为0,已经收到包的数量,表示当前没有接收到数据
第二次握手的数据包

服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的ISN加1以.即0+1=1


image-68.png

数据包的关键属性

  1. [SYN+ACk]:标志位,同意建立连接,并回送SYN+ACk
  2. Seq = 0:初始建立值为0,表示当前还没有发送数据
  3. Ack = 1:表示当前端成功接收的数据位数,虽然客户端没有发送任何有效数据,确认号还是被加1,因为包含SYN或FIN标志位。(并不会对有效数据的计数产生影响,因为含有SYN或FIN标志位的包并不携带有效数据)
第三次握手的数据包

客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1


image-69.png

数据包的关键属性

  1. ACK:标志位,表示已经收到记录
  2. Seq = 1 :表示当前已经发送1个数据
  3. Ack = 1 : 表示当前端成功接收的数据位数,虽然服务端没有发送任何有效数据,确认号还是被加1,因为包含SYN或FIN标志位(并不会对有效数据的计数产生影响,因为含有SYN或FIN标志位的包并不携带有效数据)
    到此TCP三次握手完成,建立了连接,开始进行数据交互


    image-72.png
针对数据交互过程的数据包进行说明
image-73.png

数据包的关键属性

Seq: 1
Ack: 1: 说明现在共收到1字节数据
image-74.png
Seq: 1
Ack: 518: 说明现在服务端共收到518字节数据

在TCP层,有个FLAGS字段,这个字段有以下几个标识:SYN, FIN, ACK, PSH, RST, URG


image-75.png

我们日常的分析有用的就是前面的五个字段。它们的含义是:SYN表示建立连接,FIN表示关闭连接,ACK表示响应,PSH表示有DATA数据传输,RST表示连接重置

wireshark显示时间戳

调整方法为视图 –>时间显示格式 –> 日期和时间

image-76.png

效果
image-77.png

参考文献:wireshark使用教程

©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 215,463评论 6 497
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 91,868评论 3 391
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 161,213评论 0 351
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 57,666评论 1 290
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 66,759评论 6 388
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 50,725评论 1 294
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 39,716评论 3 415
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 38,484评论 0 270
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 44,928评论 1 307
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 37,233评论 2 331
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 39,393评论 1 345
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 35,073评论 5 340
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 40,718评论 3 324
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 31,308评论 0 21
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 32,538评论 1 268
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 47,338评论 2 368
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 44,260评论 2 352

推荐阅读更多精彩内容

  • ![Flask](data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAW...
    极客学院Wiki阅读 7,241评论 0 3
  • 不知不觉易趣客已经在路上走了快一年了,感觉也该让更多朋友认识知道易趣客,所以就谢了这篇简介,已做创业记事。 易趣客...
    Physher阅读 3,414评论 1 2
  • 双胎妊娠有家族遗传倾向,随母系遗传。有研究表明,如果孕妇本人是双胎之一,她生双胎的机率为1/58;若孕妇的父亲或母...
    邺水芙蓉hibiscus阅读 3,699评论 0 2
  • 晴天,拥抱阳光,拥抱你。雨天,想念雨滴,想念你。 我可以喜欢你吗可以啊 我还可以喜欢你吗可以,可是你要知道我们不可...
    露薇霜凝阅读 1,213评论 1 2