简介
Wireshark（前身 Ethereal）是一个网络包分析工具。该工具主要是用来捕获网络数据包，并自动解析数据包，为用户显示数据包的详细信息，供用户对数据包进行分析
安装
软件下载路径：wireshark官网 按照系统版本选择下载，下载完成后，按照软件提示一路Next安装
如果是Windows系统，安装完成后，需要下载pcap兼容性安装包。下载路径：pcap兼容性安装包
抓包示例
-
主界面
image-37.png -
选择菜单栏上捕获 -> 设置，勾选网卡（这里需要根据各自电脑网卡使用情况选择，最简单的办法可以看使用的IP对应的网卡）。点击Start，启动抓包
image-38.png -
wireshark启动后，wireshark处于抓包状态中
image-40.png - 执行需要抓包的操作，如在终端或者cmd窗口下执行ping www.baidu.com
-
操作完成后相关数据包就抓取到了。为避免其他无用的数据包影响分析，可以通过在过滤栏设置过滤条件进行数据包列表过滤，获取结果如下。说明：ip.addr == 192.168.127.130 and icmp 表示只显示ICPM协议且源主机IP或者目的主机IP为192.168.127.130的数据包。说明：协议名称icmp要小写
image-41.png
整个抓包过程到此就介绍了，剩下的是显示过滤条件、抓包过滤条件、以及如何查看数据包中的详细内容
抓包界面介绍
说明：数据包列表区中不同的协议使用了不同的颜色区分。协议颜色标识定位在视图 -> 着色规则
-
显示过滤器：用于设置过滤条件进行数据包列表过滤
image-44.png -
数据包列表：显示捕获到的数据包，每个数据包包含编号，时间戳，源地址，目标地址，协议，长度，以及数据包信息。 不同协议的数据包使用了不同的颜色区分显示
image-45.png - 数据包详细信息：在数据包列表中选择指定数据包，在数据包详细信息中会显示数据包的所有详细信息内容。数据包详细信息面板是最重要的，用来查看协议中的每一个字段
- Frame: 物理层的数据帧概况
- Ethernet II: 数据链路层以太网帧头部信息
- Internet Protocol Version 4: 互联网层IP包头部信息
- Transmission Control Protocol: 传输层T的数据段头部信息，此处是TCP
-
Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协议
image-8.png
常见用显示过滤需求及其对应表达式
数据链路层
- 筛选mac地址为04:f9:38:ad:13:26的数据包—-eth.src == 04:f9:38:ad:13:26
- 筛选源mac地址为04:f9:38:ad:13:26的数据包—-eth.src == 04:f9:38:ad:13:26
网络层 - 筛选ip地址为192.168.1.1的数据包—-ip.addr == 192.168.127.130
- 筛选192.168.1.0网段的数据—- ip contains “192.168.127.130”
- 筛选192.168.1.1和192.168.1.2之间的数据包—-ip.addr == 192.168.127.130 && ip.addr == 192.168.127.130
- 筛选从192.168.1.1到192.168.1.2的数据包—-ip.src == 192.168.127.130 && ip.dst == 192.168.127.130
传输层 - 筛选tcp协议的数据包—-tcp
- 筛选除tcp协议以外的数据包—-!tcp
- 筛选端口为80的数据包—-tcp.port == 80
- 筛选12345端口和80端口之间的数据包—-tcp.port == 12345 && tcp.port == 80
- 筛选从12345端口到80端口的数据包—-tcp.srcport == 12345 && tcp.dstport == 80
应用层 - http中http.request表示请求头中的第一行（如GET index.jsp HTTP/1.1），http.response表示响应头中的第一行（如HTTP/1.1 200 OK），其他头部都用http.header_name形式
- 筛选url中包含.php的http数据包—-http.request.uri contains “.php”
- 筛选内容包含username的http数据包—-http contains “username”
wireshark过滤器设置
wireshark抓包将会得到大量的冗余数据包列表，以至于很难找到自己需要抓取的数据包部分。wireshark工具中自带了两种类型的过滤器，学会使用这两种过滤器会帮助我们在大量的数据中迅速找到我们需要的信息
抓包过滤器
捕获过滤器的菜单栏路径为捕获 -> 捕获过滤器。用于在抓取数据包前设置
比如可以在抓取数据包前设置ip host 172.17.0.1 and tcp(只捕获主机IP为172.17.0.1的TCP数据包)
结果
显示过滤器
显示过滤器是用于在抓取数据包后设置过滤条件进行过滤数据包。通常是在抓取数据包时设置条件相对宽泛或者没有设置导致抓取的数据包内容较多时使用显示过滤器设置条件过滤以方便分析。同样上述场景，在捕获时未设置抓包过滤规则直接通过网卡进行抓取所有数据包
ping www.baidu.com获取的数据包列表如下
观察上述获取的数据包列表，含有大量的无效数据。这时可以通过设置显示器过滤条件进行提取分析信息。ip.addr == 192.168.127.130 and icmp进行过滤
wireshark过滤器表达式的规则
抓包过滤器语法：抓包过滤器类型Type（host、net、port）、方向Dir（src、dst）、协议Proto（ether、ip、tcp、udp、http、icmp、ftp等）、逻辑运算符（&& 与、|| 或、！非）
协议过滤
直接在抓包过滤框中直接输入协议名即可
- tcp:只显示TCP协议的数据包列表
- http:只查看HTTP协议的数据包列表
- icmp:只显示ICMP协议的数据包列表
IP过滤
- host 192.168.127.130
- src host 192.168.127.130
- dst host 192.168.127.130
端口过滤
- port 80
- src port 80
- dst port 80
逻辑运算符
&& 与、|| 或、！非
- src host 192.168.127.130 && dst port 80 抓取主机地址为192.168.127.130、目的端口为80的数据包
- host 192.168.127.130 || host 192.168.127.102 抓取主机为192.168.127.130或者192.168.127.102的数据包
- ！broadcast 不抓取广播数据包
显示过滤器语法
- 比较操作符：== 等于、！= 不等于、> 大于、< 小于、>= 大于等于、<=小于等于
- 协议过滤：直接在过滤栏中直接输入协议名即可。注意：协议名称需要输入小写
- tcp，只显示TCP协议的数据包列表
- http，只查看HTTP协议的数据包列表
- icmp，只显示ICMP协议的数据包列表
- ip过滤
- ip.src ==192.168.127.130 显示源地址为192.168.127.130的数据包列表
- ip.dst==192.168.127.130, 显示目标地址为192.168.127.130的数据包列表
- ip.addr == 192.168.127.130 显示源IP地址或目标IP地址为192.168.127.130的数据包列表
- 端口过滤
- tcp.port ==80, 显示源主机或者目的主机端口为80的数据包列表
- tcp.srcport == 80, 只显示TCP协议的源主机端口为80的数据包列表
- tcp.dstport == 80，只显示TCP协议的目的主机端口为80的数据包列表
- Http模式过滤：http.request.method==”GET”, 只显示HTTP GET方法的
- 逻辑运算符为 and/or/not：过滤多个条件组合时，使用and/or。比如获取IP地址为192.168.1.104的ICMP数据包表达式为ip.addr == 192.168.127.130 and icmp
-
数据包内容过滤
假设我要以IMCP层中的内容进行过滤，可以单击选中界面中的码流，在下方进行选中数据
image-57.png
右键点击后出现以下画面
image-61.png
选中后过滤器上显示如下
image-62.png
后面条件表达式就需要自己填写。滤data数据包中包含”abcd”内容的数据流。包含的关键词是contains 后面跟上内容
image-63.png
Wireshark抓包分析TCP三次握手
TCP三次握手连接建立过程
- 客户端发送一个SYN=1，ACK=0标志的数据包给服务端，请求进行连接，这是第一次握手
- 服务端收到请求并且允许连接的话，就会发送一个SYN=1，ACK=1标志的数据包给发送端，告诉它，可以通讯了，并且让客户端发送一个确认数据包，这是第二次握手
-
服务端发送一个SYN=0，ACK=1的数据包给客户端端，告诉它连接已被确认，这就是第三次握手。TCP连接建立，开始通讯
image-64.png
wireshark抓包获取访问指定服务端数据包
- 启动wireshark抓包，打开终端ping www.baidu.com并获得IP地址
-
输入过滤条件获取待分析数据包列表 ip.addr == 180.101.49.12
image-65.png
图中可以看到wireshark截获到了三次握手的三个数据包。第四个包是TLS的， 这说明TLS的确是使用TCP建立连接的
第一次握手数据包
客户端发送一个TCP，标志位为SYN，序列号为0， 代表客户端请求建立连接
数据包的关键属性
- SYN ：标志位，表示请求建立连接
- Seq = 0 ：初始建立连接值为0，数据包的相对序列号从0开始，表示当前还没有发送数据
- Ack =0：初始建立连接值为0，已经收到包的数量，表示当前没有接收到数据
第二次握手的数据包
服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的ISN加1以.即0+1=1
数据包的关键属性
- [SYN+ACk]：标志位，同意建立连接，并回送SYN+ACk
- Seq = 0：初始建立值为0，表示当前还没有发送数据
- Ack = 1：表示当前端成功接收的数据位数，虽然客户端没有发送任何有效数据，确认号还是被加1，因为包含SYN或FIN标志位。（并不会对有效数据的计数产生影响，因为含有SYN或FIN标志位的包并不携带有效数据）
第三次握手的数据包
客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1
数据包的关键属性
- ACK：标志位，表示已经收到记录
- Seq = 1 ：表示当前已经发送1个数据
-
Ack = 1 : 表示当前端成功接收的数据位数，虽然服务端没有发送任何有效数据，确认号还是被加1，因为包含SYN或FIN标志位（并不会对有效数据的计数产生影响，因为含有SYN或FIN标志位的包并不携带有效数据)
到此TCP三次握手完成，建立了连接，开始进行数据交互
image-72.png
针对数据交互过程的数据包进行说明
数据包的关键属性
Seq: 1
Ack: 1: 说明现在共收到1字节数据
Seq: 1
Ack: 518: 说明现在服务端共收到518字节数据
在TCP层，有个FLAGS字段，这个字段有以下几个标识：SYN, FIN, ACK, PSH, RST, URG
我们日常的分析有用的就是前面的五个字段。它们的含义是：SYN表示建立连接，FIN表示关闭连接，ACK表示响应，PSH表示有DATA数据传输，RST表示连接重置
wireshark显示时间戳
调整方法为视图 –>时间显示格式 –> 日期和时间
效果
参考文献：wireshark使用教程
