您当前的位置:首页 > 电脑百科 > 网络技术 > 网络技术

wireshark网络抓包详解

时间:2022-06-06 14:09:35  来源:  作者:大数据老司机

一、简介

Wireshark是一款非常流行的网络封包分析软件,可以截取各种网络数据包,并显示数据包详细信息。

为了安全考虑,wireshark只能查看封包,而不能修改封包的内容,或者发送封包。

wireshark能获取HTTP,也能获取HTTPS,但是不能解密HTTPS,所以wireshark看不懂HTTPS中的内容

二、安装

2.1、安装地址

Wireshark开源地址:https://Github.com/wireshark/wireshark
Wireshark下载地址:https://www.wireshark.org/download

安装的话,就是傻瓜式的一步步点鼠标安装,没什么可说的了,安装步骤这里就省略了。

三、抓包示例

3.1、Wireshark抓包简单流程
1)主界面

wireshark网络抓包详解

 

2)3.2、 选择菜单栏上【捕获】 -> 【选项】,当然也可以点击【捕获选项】的图标一步到位,勾选【WLAN】网卡(这里需要根据各自电脑网卡使用情况选择,简单的办法可以看使用的IP对应的网卡),点击【开始】,启动抓包。

wireshark网络抓包详解

 

3)wireshark启动后,wireshark处于抓包状态中。

wireshark网络抓包详解

 

4)在window CMD命令行ping bAIdu.com

wireshark网络抓包详解

 

5)通过在过滤栏设置过滤条件进行数据包列表过滤,以免抓取无用包影响查看,这里就以ping baidu.com为例,只过滤百度的ip,设置如下:

ip.addr == 39.156.69.79 and icmp

表示只显示ICPM协议且源主机IP或者目的主机IP为39.156.69.79的数据包。注意:协议名称icmp要小写

wireshark网络抓包详解

 

关于Wireshark抓包流程就是如上步骤。

3.2、Wireshark抓包界面介绍

wireshark网络抓包详解

 

说明:数据包列表区中不同的协议使用了不同的颜色区分。协议颜色标识定位在菜单栏【视图】-> 【着色规则】。如下所示:

wireshark网络抓包详解

 

WireShark 主要分为这几个界面:
1)Display Filter(显示过滤器), 用于设置过滤条件进行数据包列表过滤。菜单路径:【分析】-> 【Display Filters】。

wireshark网络抓包详解

 

2)Packet List Pane(数据包列表), 显示捕获到的数据包,每个数据包包含编号时间戳源地址目标地址协议长度,以及数据包信息。 不同协议的数据包使用了不同的颜色区分显示。

wireshark网络抓包详解

 

3)Packet Details Pane(数据包详细信息), 在数据包列表中选择指定数据包,在数据包详细信息中会显示数据包的所有详细信息内容。数据包详细信息面板是最重要的,用来查看协议中的每一个字段。各行信息分别为:

(1)Frame:   【物理层】的数据帧概况

(2)Ethe.NET II: 【数据链路层】以太网帧头部信息

(3)Internet Protocol Version 4: 互联网层IP包头部信息,属于【网络层】

(4)Transmission Control Protocol:  【传输层】T的数据段头部信息,此处是TCP

(5)Hypertext Transfer Protocol:  【应用层】的信息,此处是HTTP协议

TCP包的具体内容

wireshark网络抓包详解

 

4)Dissector Pane(数据包字节区)。

3.3、Wireshark过滤器设置

wireshark工具中自带了两种类型的过滤器,学会使用这两种过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。

1)抓包过滤器
捕获过滤器的菜单栏路径为【捕获】 -> 【捕获过滤器】。用于在抓取数据包前设置。

wireshark网络抓包详解

 

如何使用?可以在抓取数据包前设置如下:

wireshark网络抓包详解

 

ip host www.baidu.com表示只捕获主机host为www.baidu.com的ICMP数据包。获取结果如下:

wireshark网络抓包详解

 

2)显示过滤器

显示过滤器是用于在抓取数据包后设置过滤条件进行过滤数据包。通常是在抓取数据包时设置条件相对宽泛或者没有设置导致抓取的数据包内容较多时使用显示过滤器设置条件过滤以方便分析。

wireshark网络抓包详解

 

然后可以通过设置显示器过滤条件进行提取分析信息。ip.addr == 183.232.231.174 and icmp。并进行过滤。

wireshark网络抓包详解

 

3.4、以上两者间的语法以及它们的区别

1、wireshark过滤器表达式的规则
1)抓包过滤器语法和实例

抓包过滤器类型Type(host、net、port)、方向Dir(src、dst)、协议Proto(ether、ip、tcp、udp、http、icmp、ftp等)、逻辑运算符(&& 与、|| 或、!非)

2)协议过滤
比较简单,直接在抓包过滤框中直接输入协议名即可。

tcp,只显示TCP协议的数据包列表

http,只查看HTTP协议的数据包列表

icmp,只显示ICMP协议的数据包列表

3)IP过滤

host 192.168.182.104

src host 192.168.182.104

dst host 192.168.182.104

4)端口过滤

port 80

src port 80

dst port 80

5)逻辑运算符&& 与、|| 或、!非

src host 192.168.182.104 && dst port 80 抓取主机地址为192.168.182.80、目的端口为80的数据包

host 192.168.182.104 || host 192.168.182.102 抓取主机为192.168.182.104或者192.168.182.102的数据包

!broadcast 不抓取广播数据包

2、显示过滤器语法和实例
1)比较操作符

比较操作符有== 等于、!= 不等于、> 大于、< 小于、>= 大于等于、<=小于等于。

2)协议过滤
比较简单,直接在Filter框中直接输入协议名即可。注意:协议名称需要输入小写。

tcp,只显示TCP协议的数据包列表

http,只查看HTTP协议的数据包列表

icmp,只显示ICMP协议的数据包列表

3)ip过滤

ip.src ==192.168.182.104 显示源地址为192.168.182.104的数据包列表

ip.dst==192.168.182.104, 显示目标地址为192.168.182.104的数据包列表

ip.addr == 192.168.182.104 显示源IP地址或目标IP地址为192.168.182.104的数据包列表

4)端口过滤

tcp.port ==80,  显示源主机或者目的主机端口为80的数据包列表。

tcp.srcport == 80,  只显示TCP协议的源主机端口为80的数据包列表。

tcp.dstport == 80,只显示TCP协议的目的主机端口为80的数据包列表。

4)Http模式过滤

http.request.method=="GET",   只显示HTTP GET方法的。

5)逻辑运算符为 and/or/not

过滤多个条件组合时,使用and/or。比如获取IP地址为183.232.231.174的ICMP数据包表达式为ip.addr == 183.232.231.174 and icmp

四、Wireshark抓包分析TCP三次握手

wireshark网络抓包详解

 

1)TCP三次握手连接建立过程:

  • Step1:客户端发送一个SYN=1,ACK=0标志的数据包给服务端,请求进行连接,这是第一次握手;
  • Step2:服务端收到请求并且允许连接的话,就会发送一个SYN=1,ACK=1标志的数据包给发送端,告诉它,可以通讯了,并且让客户端发送一个确认数据包,这是第二次握手;
  • Step3:服务端发送一个SYN=0,ACK=1的数据包给客户端端,告诉它连接已被确认,这就是第三次握手。TCP连接建立,开始通讯。

2)wireshark抓包获取访问指定服务端数据包

  • Step1:启动wireshark抓包,打开浏览器输入www.huawei.com。
  • Step2:使用ping www.huawei.com获取IP。
wireshark网络抓包详解

 

  • Step3:输入过滤条件获取待分析数据包列表ip.addr == 120.240.100.48 and tcp,这里只抓取tcp的包,要不然其它信息有点多不好看。
wireshark网络抓包详解

 

图中可以看到wireshark截获到了三次握手的三个数据包。但是从上图看不止一个三次握手;其实还有一个重要的信息,如果眼尖的同学,会发现后面还有两次TLS的握手,没错,因为是通过https去发请求的,三次握手后就是TLS的握手了。虽然上面是通过http访问,但是会跳到https,流程图大致如下:

wireshark网络抓包详解

 

以下就是TLS握手过程

wireshark网络抓包详解

 

五、Wireshark分析tcpdump抓包结果

【文件】->【打开】选择要解析的文件。最后点击右边的箭头开始解析。

wireshark网络抓包详解

 



Tags:wireshark   点击:()  评论:()
声明:本站部分内容及图片来自互联网,转载是出于传递更多信息之目的,内容观点仅代表作者本人,不构成投资建议。投资者据此操作,风险自担。如有任何标注错误或版权侵犯请与我们联系,我们将及时更正、删除。
▌相关推荐
Wireshark抓包分析TCP协议:三次握手和四次挥手
前言 面试中我们经常会被问到TCP协议的三次握手和四次挥手的过程,为什么总喜欢问这个问题呢? 其实我们平时使用的很多协议都是应用层协议,比如HTTP协议,https协议,DNS协议,FTP协议...【详细内容】
2023-11-01  Search: wireshark  点击:(244)  评论:(0)  加入收藏
身为网络工程师,别再只会用Wireshark了
Wireshark是非常流行的网卡抓包软件,具有强大的抓包功能。它可以截取各种网络数据包,并显示数据包详细信息。这也就意味着,它可以查看所有网络的流量发生过什么。它适用的系统...【详细内容】
2022-10-21  Search: wireshark  点击:(377)  评论:(0)  加入收藏
这年头谁还不会抓包,WireShark 抓包及常用协议分析送给你
WireShark 简介和抓包原理及过程WireShark 简介Wireshark 是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包,并尽可能显示出最为详细的网络封包资料。Wireshar...【详细内容】
2022-07-27  Search: wireshark  点击:(751)  评论:(0)  加入收藏
Wireshark教程:解密HTTPS流量
#概述本教程面向进行流量分析的安全专业人员。本教程假定你已经熟悉Wireshark的基本使用,并使用Wireshark 3.x版。在审查可疑的网络活动时,我们经常会遇到加密的流量。因为大...【详细内容】
2022-06-29  Search: wireshark  点击:(672)  评论:(0)  加入收藏
wireshark网络抓包详解
一、简介Wireshark是一款非常流行的网络封包分析软件,可以截取各种网络数据包,并显示数据包详细信息。为了安全考虑,wireshark只能查看封包,而不能修改封包的内容,或者发送封包。...【详细内容】
2022-06-06  Search: wireshark  点击:(795)  评论:(0)  加入收藏
Wireshark抓取Android数据包
用Wireshark来抓取Android应用中的数据包。有服务和客户端的源码。WiresharkWireshark是非常流行的网络封包分析软件,功能十分强大。可以截取各种网络封包,显示网络封包的详细...【详细内容】
2022-05-16  Search: wireshark  点击:(580)  评论:(0)  加入收藏
渗透测试抓包工具-wireshark
wireshark功能介绍1.抓包嗅探协议分析2.安全专家必备的技能3.抓包引擎Libpcap9----LinuxWinpcap10-----Windows4.解码能力 wireshark基本使用方法1.启动软件2.选择抓包网卡3...【详细内容】
2022-04-19  Search: wireshark  点击:(585)  评论:(0)  加入收藏
Wireshark工作使用小结
基本概念wireshark是个开源的好用软件,用来分析数据包。数据包:通常就是四层信息 物理层数据帧,数据链路层以太帧头部。网络层IP包头部。传输层TCP包头部。最后就是应用层信息...【详细内容】
2022-04-11  Search: wireshark  点击:(503)  评论:(0)  加入收藏
wireshark数据包分析工具
wireshark数据包分析工具。非常流行的网络封包分析软件,功能屈指可数。wireshark是开源软件,可以放心使用。使用范围也是非常广的;只要是网络方面的都会用到这款工具。来看下界...【详细内容】
2022-03-04  Search: wireshark  点击:(456)  评论:(0)  加入收藏
wireshark 如何抓包https
由于https 使用了 TLS/SSL 加密条件,我们无法直接在wireshark的中读取到数据内容,我们先看一下正常的http包的内容。可以直接读取到http的header 和body。 但如果是https 则不...【详细内容】
2021-12-01  Search: wireshark  点击:(569)  评论:(0)  加入收藏
▌简易百科推荐
手机就可以修改WiFi密码,进行网络提速,还能防止别人蹭网
随着网络的普及和使用频率的增加,很多人可能遇到了一些网络管理上的问题,比如忘记了WiFi密码、网络速度缓慢、或者发现有不明设备在家中蹭网。相信朋友们也曾遇到过吧?但是,你知...【详细内容】
2024-04-03  老毛桃    Tags:WiFi密码   点击:(9)  评论:(0)  加入收藏
手机WiFi信号满格却接收消息延迟?这里有妙招帮你解决!
在现代社会,手机已经成为了我们生活中不可或缺的一部分。无论是工作、学习还是娱乐,手机都扮演着重要的角色。然而,有时我们会遇到一些令人烦恼的问题,比如明明手机WiFi信号满格...【详细内容】
2024-04-03  蔡前进    Tags:手机WiFi   点击:(8)  评论:(0)  加入收藏
SASE技术应用落地的五个关键趋势
在Gartner 最新发布的《2023网络技术成熟度曲线》报告中认为,SASE技术已经开始走出最初的技术炒作期,将逐步迈向新一轮的实用落地阶段。在Gartner发布的《Hype Cycle for Ente...【详细内容】
2024-04-01    安全牛  Tags:SASE   点击:(13)  评论:(0)  加入收藏
提示“该网站安全证书存在问题,连接可能不安全”如何解决
在你输入网址并浏览网页时,如果你的浏览器弹出一个警告,提示“网站的安全证书存在问题”,或是显示一个红色的锁标志,这些都是网站不安全的警示。这些提示通常是由HTTPS协议中的S...【详细内容】
2024-03-18  倏然间    Tags:网站安全证书   点击:(13)  评论:(0)  加入收藏
如何有效排除CAN总线错误
控制器局域网(CAN)控制器局域网(CAN)是现代车辆中电子元件无缝运行的基础。在远程信息处理领域,CAN总线系统的效率至关重要,其能够实现支撑当今汽车技术的复杂功能。然而,CAN总...【详细内容】
2024-02-20    千家网  Tags:CAN   点击:(56)  评论:(0)  加入收藏
网络连接受限或无连接怎么办?这里提供几个修复办法
可能错误提示 连接受限或无连接:连接具有有限的连接或无连接。你可能无法访问Internet或某些网络资源。 连接受限。排除和解决“连接受限或无连接”错误此错误可能由计算机上...【详细内容】
2024-02-06  驾驭信息纵横科技    Tags:网络连接受限   点击:(52)  评论:(0)  加入收藏
如何将Mac连接到以太网?这里有详细步骤
在Wi-Fi成为最流行、最简单的互联网连接方式之前,每台Mac和电脑都使用以太网电缆连接。这是Mac可用端口的标准功能。如何将Mac连接到以太网如果你的Mac有以太网端口,则需要以...【详细内容】
2024-02-03  驾驭信息纵横科技    Tags:Mac   点击:(68)  评论:(0)  加入收藏
简易百科之什么是端口映射
端口映射,也称为端口转发,是一种网络通信中的技术手段,通过将内网中的一个端口上的数据流量转发到另一个端口,使得外部网络能够访问到内部网络中的特定服务。在实现上,端口映射通...【详细内容】
2024-01-26    简易百科  Tags:端口映射   点击:(165)  评论:(0)  加入收藏
ip因频繁登陆已被禁止访问 无法显示图片 怎么办
首先,我们要明白,部分网站为了有效遏制数据爬取和非法攻击,保证访问速度和普通用户查询,会在系统中增加网络安全设备,加强安全防护机制,并提前设置安全访问规则。因此,一旦用户的行...【详细内容】
2024-01-20  何福意思    Tags:ip   点击:(68)  评论:(0)  加入收藏
电脑连上wifi却上不了网怎么办
当电脑连接上 WiFi 却无法上网时,可能会让人感到困惑和沮丧。这个问题通常会有多种可能的原因,包括网络配置问题、路由器故障、无线适配器问题等。在面对这个问题时,可以尝试以...【详细内容】
2024-01-16  编程资料站    Tags:wifi   点击:(72)  评论:(0)  加入收藏
站内最新
站内热门
站内头条