范文健康探索娱乐情感热点
投稿投诉
热点动态
科技财经
情感日志
励志美文
娱乐时尚
游戏搞笑
探索旅游
历史星座
健康养生
美丽育儿
范文作文
教案论文

wireshark抓包教程详解

  如果本文对你有帮助,欢迎关注、讨论、点赞、收藏、转发给朋友,让我有持续创作的动力,让我们一起相互学习共同进步。  Wireshark软件安装
  软件下载路径:wireshark官网。按照系统版本选择下载,下载完成后,按照软件提示一路Next安装。
  说明:如果你是Win10系统,安装完成后,选择抓包但是不显示网卡,下载win10pcap兼容性安装包。下载路径:win10pcap兼容性安装包  Wireshark 开始抓包示例
  先介绍一个使用wireshark工具抓取ping命令操作的示例,让读者可以先上手操作感受一下抓包的具体过程。
  1、打开wireshark 2.6.5,主界面如下:
  2、选择菜单栏上Capture -> Option,勾选WLAN网卡(这里需要根据各自电脑网卡使用情况选择,简单的办法可以看使用的IP对应的网卡)。点击Start。启动抓包。
  3、wireshark启动后,wireshark处于抓包状态中。
  4、执行需要抓包的操作,如在cmd窗口下执行ping www.baidu.com。
  5、操作完成后相关数据包就抓取到了。为避免其他无用的数据包影响分析,可以通过在过滤栏设置过滤条件进行数据包列表过滤,获取结果如下。说明:ip.addr == 119.75.217.26 and icmp 表示只显示ICPM协议且源主机IP或者目的主机IP为119.75.217.26的数据包。说明:协议名称icmp要小写。
  5、wireshark抓包完成,就这么简单。关于wireshark显示过滤条件、抓包过滤条件、以及如何查看数据包中的详细内容在后面介绍。  Wireshakr抓包界面介绍
  说明:数据包列表区中不同的协议使用了不同的颜色区分。协议颜色标识定位在菜单栏View --> Coloring Rules。如下所示
  WireShark 主要分为这几个界面
  1. Display Filter(显示过滤器), 用于设置过滤条件进行数据包列表过滤。菜单路径:Analyze --> Display Filters。
  2. Packet List Pane(数据包列表), 显示捕获到的数据包,每个数据包包含编号,时间戳,源地址,目标地址,协议,长度,以及数据包信息。不同协议的数据包使用了不同的颜色区分显示。
  3. Packet Details Pane(数据包详细信息), 在数据包列表中选择指定数据包,在数据包详细信息中会显示数据包的所有详细信息内容。数据包详细信息面板是最重要的,用来查看协议中的每一个字段。各行信息分别为
  (1)Frame: 物理层的数据帧概况
  (2)Ethernet II: 数据链路层以太网帧头部信息
  (3)Internet Protocol Version 4: 互联网层IP包头部信息
  (4)Transmission Control Protocol: 传输层T的数据段头部信息,此处是TCP
  (5)Hypertext Transfer Protocol: 应用层的信息,此处是HTTP协议
  TCP包的具体内容
  从下图可以看到wireshark捕获到的TCP包中的每个字段。
  4. Dissector Pane(数据包字节区)。  Wireshark过滤器设置
  初学者使用wireshark时,将会得到大量的冗余数据包列表,以至于很难找到自己需要抓取的数据包部分。wireshark工具中自带了两种类型的过滤器,学会使用这两种过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。
  (1)抓包过滤器
  捕获过滤器的菜单栏路径为Capture --> Capture Filters。用于 在抓取数据包前设置。
  如何使用?可以在抓取数据包前设置如下。
  ip host 60.207.246.216 and icmp表示只捕获主机IP为60.207.246.216的ICMP数据包。获取结果如下:
  (2)显示过滤器
  显示过滤器是用于在抓取数据包后设置过滤条件进行过滤数据包。通常是在抓取数据包时设置条件相对宽泛或者没有设置导致抓取的数据包内容较多时使用显示过滤器设置条件过滤以方便分析。同样上述场景,在捕获时未设置抓包过滤规则直接通过网卡进行抓取所有数据包,如下
  执行ping www.huawei.com获取的数据包列表如下
  观察上述获取的数据包列表,含有大量的无效数据。这时可以通过设置显示器过滤条件进行提取分析信息。ip.addr == 211.162.2.183 and icmp。并进行过滤。
  上述介绍了抓包过滤器和显示过滤器的基本使用方法。 在组网不复杂或者流量不大情况下,使用显示器过滤器进行抓包后处理就可以满足我们使用。 下面介绍一下两者间的语法以及它们的区别。
  wireshark过滤器表达式的规则
  1、抓包过滤器语法和实例
  抓包过滤器类型Type(host、net、port)、方向Dir(src、dst)、协议Proto(ether、ip、tcp、udp、http、icmp、ftp等)、逻辑运算符(&& 与、|| 或、!非)
  (1)协议过滤
  比较简单,直接在抓包过滤框中直接输入协议名即可。
  tcp,只显示TCP协议的数据包列表
  http,只查看HTTP协议的数据包列表
  icmp,只显示ICMP协议的数据包列表
  (2)IP过滤
  host 192.168.1.104
  src host 192.168.1.104
  dst host 192.168.1.104
  (3)端口过滤
  port 80
  src port 80
  dst port 80
  (4)逻辑运算符&& 与、|| 或、!非
  src host 192.168.1.104 && dst port 80 抓取主机地址为192.168.1.80、目的端口为80的数据包
  host 192.168.1.104 || host 192.168.1.102 抓取主机为192.168.1.104或者192.168.1.102的数据包
  !broadcast 不抓取广播数据包
  2、显示过滤器语法和实例
  (1)比较操作符
  比较操作符有== 等于、!= 不等于、> 大于、< 小于、>= 大于等于、<=小于等于。
  (2)协议过滤
  比较简单,直接在Filter框中直接输入协议名即可。 注意:协议名称需要输入小写。
  tcp,只显示TCP协议的数据包列表
  http,只查看HTTP协议的数据包列表
  icmp,只显示ICMP协议的数据包列表
  (3) ip过滤
  ip.src ==192.168.1.104 显示源地址为192.168.1.104的数据包列表
  ip.dst==192.168.1.104, 显示目标地址为192.168.1.104的数据包列表
  ip.addr == 192.168.1.104 显示源IP地址或目标IP地址为192.168.1.104的数据包列表
  (4)端口过滤
  tcp.port ==80, 显示源主机或者目的主机端口为80的数据包列表。
  tcp.srcport == 80, 只显示TCP协议的源主机端口为80的数据包列表。
  tcp.dstport == 80,只显示TCP协议的目的主机端口为80的数据包列表。
  (5) Http模式过滤
  http.request.method=="GET", 只显示HTTP GET方法的。
  (6)逻辑运算符为 and/or/not
  过滤多个条件组合时,使用and/or。比如获取IP地址为192.168.1.104的ICMP数据包表达式为ip.addr == 192.168.1.104 and icmp
  (7)按照数据包内容过滤。假设我要以IMCP层中的内容进行过滤,可以单击选中界面中的码流,在下方进行选中数据。如下
  右键单击选中后出现如下界面
  选中Select后在过滤器中显示如下
  后面条件表达式就需要自己填写。如下我想过滤出data数据包中包含"abcd"内容的数据流。 包含的关键词是contains 后面跟上内容。
  看到这, 基本上对wireshak有了初步了解。  Wireshark抓包分析TCP三次握手
  (1)TCP三次握手连接建立过程
  Step1:客户端发送一个SYN=1,ACK=0标志的数据包给服务端,请求进行连接,这是第一次握手;
  Step2:服务端收到请求并且允许连接的话,就会发送一个SYN=1,ACK=1标志的数据包给发送端,告诉它,可以通讯了,并且让客户端发送一个确认数据包,这是第二次握手;
  Step3:服务端发送一个SYN=0,ACK=1的数据包给客户端端,告诉它连接已被确认,这就是第三次握手。TCP连接建立,开始通讯。
  (2)wireshark抓包获取访问指定服务端数据包
  Step1:启动wireshark抓包,打开浏览器输入www.huawei.com。
  Step2:使用ping www.huawei.com获取IP。
  Step3:输入过滤条件获取待分析数据包列表 ip.addr == 211.162.2.183
  图中可以看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的, 这说明HTTP的确是使用TCP建立连接的。
  第一次握手数据包
  客户端发送一个TCP,标志位为SYN,序列号为0, 代表客户端请求建立连接。如下图。
  数据包的关键属性如下:
  SYN :标志位,表示请求建立连接
  Seq = 0 :初始建立连接值为0,数据包的相对序列号从0开始,表示当前还没有发送数据
  Ack =0:初始建立连接值为0,已经收到包的数量,表示当前没有接收到数据
  第二次握手的数据包
  服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的I S N加1以.即0+1=1, 如下图
  数据包的关键属性如下:
  [SYN + ACK]: 标志位,同意建立连接,并回送SYN+ACK
  Seq = 0 :初始建立值为0,表示当前还没有发送数据
  Ack = 1:表示当前端成功接收的数据位数,虽然客户端没有发送任何有效数据,确认号还是被加1,因为包含SYN或FIN标志位。(并不会对有效数据的计数产生影响,因为含有SYN或FIN标志位的包并不携带有效数据)
  第三次握手的数据包
  客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1, 如下图:
  数据包的关键属性如下:
  ACK :标志位,表示已经收到记录
  Seq = 1 :表示当前已经发送1个数据
  Ack = 1 : 表示当前端成功接收的数据位数,虽然服务端没有发送任何有效数据,确认号还是被加1,因为包含SYN或FIN标志位(并不会对有效数据的计数产生影响,因为含有SYN或FIN标志位的包并不携带有效数据)。
  就这样通过了TCP三次握手,建立了连接。开始进行数据交互
  下面针对数据交互过程的数据包进行一些说明:
  数据包的关键属性说明
  Seq: 1
  Ack: 1: 说明现在共收到1字节数据
  Seq: 1
  Ack: 951: 说明现在服务端共收到951字节数据  TCP的六种状态:SYN, FIN, ACK, PSH, RST, URG
  在TCP层,有个FLAGS字段,这个字段有以下几个标识: SYN(synchronous), FIN(Finish), ACK(Acknowledge ), PSH(Push), RST(Reset), URG(Urgent) 。如下
  其中,对于我们日常的分析有用的就是前面的五个字段。它们的含义是:SYN表示建立连接,FIN表示关闭连接,ACK表示响应,PSH表示有DATA数据传输,RST表示连接重置。  Wireshark抓包分析TCP四次挥手
  四次挥手标志分别为:  "[FIN, ACK]" "[ACK]" "[FIN, ACK]" "[ACK]"
  这里,我们需要注意两点:
  (1)客户端与服务器端传输时全双工的,因此断开请求既可以由客户端发起,也可以由服务器端发起。只要找准第一次出现"[FIN, ACK]"的位置,就是第一次挥手位置。
  (2)为什么我们抓包抓到的不是"四次挥手",而是"三次挥手"呢?
  这里涉及到LInux的TCP时延机制,当被挥手端(这里是12672端口)第一次收到挥手端(这里是443端口)的"FIN"请求时,并不会立即发送ACK,而是会经过一段延迟时间后再发送,但是此时被挥手端也没有数据发送,就会向挥手端发送"FIN"请求,这里就可能造成被挥手端发送的"FIN"与"ACK"一起被挥手端收到,导致出现"第二、三次挥手"合并为一次的现象,也就最终呈现出"三次挥手"的情况。
  三次握手:
  第一次握手:客户端发送syn包(seq=x)到服务器,并进入SYN_SENT状态,等待服务器确认;
  第二次握手:服务器收到syn包,必须确认客户的SYN(ack=x+1),同时自己也发送一个SYN包(seq=y),即SYN+ACK包,此时服务器进入SYN_RECV状态;
  第三次握手:客户端收到服务器的SYN+ACK包,向服务器发送确认包ACK(ack=y+1),此包发送完毕,客户端和服务器进入ESTABLISHED状态,完成三次握手。
  握手过程中传送的包里不包含数据,三次握手完毕后,客户端与服务器才正式开始传送数据。理想状态下,TCP连接一旦建立,在通信双方中的任何一方主动关闭连接之前,TCP 连接都将被一直保持下去。
  四次挥手:
  与建立连接的"三次握手"类似,断开一个TCP连接则需要"四次握手"。
  第一次挥手:主动关闭方发送一个FIN,用来关闭主动方到被动关闭方的数据传送,也就是主动关闭方告诉被动关闭方:我已经不 会再给你发数据了(当然,在fin包之前发送出去的数据,如果没有收到对应的ack确认报文,主动关闭方依然会重发这些数据),但是,此时主动关闭方还可 以接受数据。
  第二次挥手:被动关闭方收到FIN包后,发送一个ACK给对方,确认序号为收到序号+1(与SYN相同,一个FIN占用一个序号)。
  第三次挥手:被动关闭方发送一个FIN,用来关闭被动关闭方到主动关闭方的数据传送,也就是告诉主动关闭方,我的数据也发送完了,不会再给你发数据了。
  第四次挥手:主动关闭方收到FIN后,发送一个ACK给被动关闭方,确认序号为收到序号+1,至此,完成四次挥手。
  首先我们需要把浏览器的页面关闭,也就是断开TCP/IP连接,之后等待几分钟。会出现下面的画面,方框就是"挥手"过程。  FAQ:使用wireshark出现很多TCP Retransmission信息
  出现TCP Retransmission多数是因为目标主机的端口没开有开放监听,很少出现是网络不好导致的。
  如果在某个时间段(RTT的倍数)内没有确认发送的数据,则将数据重新传输到远程主机。重传超时从RTT开始,并随着每次重传而增加一倍。重传超时总是受限于CFGZ-MNRTO和CFGYMax RTO。如果自从第一次传输数据以来,CFGY-ReTrExtTMO时间就过去了,连接被关闭,即状态被设置为关闭。注意,当一个套接字被关闭时,将响应于接收到的端口所发送的任何数据包来发送重置。
  当超时发生时,将重新发送输出窗口中的所有未确认数据。数据被重新打包,因此,包将不与原始包相同。例如,如果以10字节的数据发送分组,则发送具有30字节数据的分组,并且第一分组丢失,40字节的未确认数据将在输出窗口中。当超时发生时,所有40个字节将在一个分组中发送(假设MSS大于或等于40)。
  如果接收到三个重复的确认,则快速重传算法无需等待超时即可重传TCP数据。RTIP32还实现了RFC 2582中定义的NeReNeO快速恢复算法。
  转载:https://blog.csdn.net/lemontree1945/article/details/88581516
  类似场景:client 连接服务器时,因 TLS 证书设置错误,所以会导致连接服务器后,没有收到应答;即发送 SYN 报文,无响应。  Wireshark分析常用操作
  调整数据包列表中时间戳显示格式。调整方法为 View -->Time Display Format --> Date and Time of Day 。调整后格式如下:

长寿秘诀很多人,认为要想长寿,必须吃好的而且还要干净卫生,有营养的食物。嗯这个想法不错,但也不是全对的,我的老奶奶可是活了105岁啦,她老人家那时候家里穷,哪有好吃的给她老人家吃啦,全是粗为什么强调申时喝茶?好处意想不到中国茶文化博大精深,源远流长。茶之为饮,从食用到药用,再到饮用,始终伴随着我们的生活,喝茶养生已成为广大茶友的共识。健康饮茶,除了喝好茶,还要讲究喝茶的方式方法,在合适的时间喝合适重庆奉节有长江三峡西大门,名字很复杂,人民币上也能看见它这里是刘小顺的旅行和生活研究所。奉节县位于我国重庆市东北部,地处长江三峡库区腹地,位置相当重要,因其壮丽的长江三峡风光以及深厚的历史文化底蕴而吸引着大量游客前来观光旅游。奉节旅游资17月全国房价下跌最大的省份竟是重庆,强二线是叫好不叫座吗?近几年,重庆绝对算是让全国叫好的城市,这一点从旅游可以看出来。疫情前一年,即2019年,重庆的旅游收入为5739亿元,仅次于北京,高于上海。最年轻的直辖市风头无两。但是高人气并没有谦和心理小课堂丨孩子有情绪家长该怎么做?孩子有情绪家长该怎么做?很多父母在孩子有情绪的时候,常常手足无措,不知道该如何安抚。抚摸孩子的这些部位,可以帮助孩子快速化解情绪,简单有效!做父母的,永远记住两点孩子很简单很单纯,锌被称为生命之素,建议孩子多吃6种高锌食物,越吃越聪明锌被称为生命之素,是人体健康非常重要的一种矿物质,这种微量元素不仅对增强免疫系统很重要,在新陈代谢中也起着重要作用。缺锌可能会导致挑食盗汗脱发反复感冒注意力不集中记忆力变差多动等不孩子被吼后,身体会发生这5个惊人变化,看完你还敢吼孩子吗?作者茱莉前两天,在外面用餐,遇到这样一幕大约6岁左右的小女孩,非常懂事地在餐前帮忙摆碗筷。不小心碰倒了一只茶杯,整杯热水顿时洒满桌面,又往地上淌孩子妈妈大吼一声你怎么这么笨啊!女孩一个55岁中年男人的心声办完这两件事儿,我就再也不牵挂生命了每个人都年轻过,小时候什么都不想,由父母养活着,唯一担心的就是完不成学习任务,考不出高的分数,也许回家会挨揍。长大了,工作了,每一个年轻人都会有自己的梦想。希望自己变成一个什么样的豆腐这么做真鲜!孩子隔三差五就想吃,营养低脂,做法超简单导语豆腐这么做真鲜!孩子隔三差五就想吃,营养低脂,做法超简单!大家好,我是傻姐美食,俗话说过了立秋节,夜寒白儿热。说得很有道理,立秋后的天气白天温度高,夜晚的天气凉爽,尤其是半夜盖毛主席真实身高有多高?坊间争议纷纷,90岁贴身警卫揭开谜团你知道带领新中国走向繁荣富强的毛主席,真实身高到底有多高吗?在很多人印象中,这位生长在南方操着湘潭口音的伟大领袖,有着一米八三的大高个,然而坊间对此却争论不休,有人说主席的真实身高威金斯赢了!勇士与普尔和平分手,布朗成筹码,绿凯得到铁血传承凯尔特人铸就了NBA的铁血王朝,本来是NBA获得总冠军最多的球队,可随着詹姆斯加盟湖人,他们已经被湖人的紫金王朝追平,而詹姆斯尚在巅峰,很有可能带领湖人再夺一冠。等到那时候,凯尔特
让作业成为儿童喜欢的样子立贤小学开发设计全科特色作业为贯彻落实双减政策,减轻儿童的作业负担,南京市立贤小学的老师们依据儿童身心发展特点,结合学科及学段目标,制定了立贤特色作业的新标准,开发设计了适合儿童的作业体系,让孩子们喜欢上作业淮北相山区锦鲤养殖蹚出乡村振兴新路径来源人民网锦鲤。人民网王晓飞摄人民网合肥3月15日电(王晓飞吕欢欢实习生张静雨)提起锦鲤,人们往往会联想到吉祥幸福好运等寓意,它承载了人们对于工作学习生活的美好希望和祝愿。在淮北市雪糕刺客天价月饼医美陷阱去年市场监管聚焦民生消费痛点亮剑应对雪糕刺客,遏制天价月饼现象查处医美陷阱有效整治医美行业价格乱象2022年,市场监管总局和各地市场监管部门聚焦群众消费痛点问题亮剑,将维护市场秩序保障群众消费合法权益摆在优先位置布局私募遭灵魂拷问,公司回复来了近日,一家以客运交通和能源为主业的综合性上市公司南京公用以2000万元发起设立南京中北新兴产业创业投资有限公司(简称中北创投)。为此,南京公用收到深交所关注函。深交所要求公司说明本传苹果已减少奖金发放频率,同时冻结人事招聘3月15日消息,在全球科技企业大裁员,并积极通过降薪停发奖金暂停招聘等措施,缩减支出的大背景之下,苹果也不能免俗,也开始了缩减奖金支出,并冻结人事招聘。据彭博社援引知情人士的话报道他是谁情节紧凑尺度大,为何我看的反胃了张译新剧他是谁正式登录。剧情劲爆,抓人眼球,让人一看就爱上。雨夜,尾随,性侵,割喉!令人发指的碎石!涉嫌黑恶势力的扫黑!当前流行的年代感!还有纠缠不清的感情!多种元素巧妙融为一体,黑暗荣耀2大尺度镜头惹争议,两次特写女配空姐,还要露上身由宋慧乔主演的大女主复仇韩剧黑暗荣耀终于迎来了全剧大结局,女主复仇成功,反派下场凄惨,各位可以放心观看啦!只是令人没想到的是,黑暗荣耀16集剧情上下两季完结之后,最新上线的黑暗荣耀光伏印钞机冰火两重天,通威未来还有赚头么?得益于去年硅料上涨,通威营收一路高涨。截至2022年前三季度,营业收入达到1020。84亿元,其中第三季度营收417。45亿元,归母净利润95。07亿元翻译一下,就是2022年第三孙颖莎斩获生涯第150胜WTT世界乒联送上祝贺中新网3月16日电16日,WTT世界乒联官方社交媒体发文祝贺中国选手孙颖莎,恭喜孙颖莎成为最快达到职业生涯150胜历史第六位。图片来源WTT官方微博胜负计算按照国际赛事场次,孙颖莎广州黄埔全球中心仓首票货物在GCT上岸广州黄埔全球中心仓首票货物在GCT上岸广州港集团供图中新网广州3月15日电(蔡敏婕詹瑞妹)广州港集团15日发布消息称,近日,装载着荷兰奶粉的集装箱从香港国际中转海运抵达广州集装箱码腐菜变腌菜!网友看完直呼不敢吃了一直以来,潮汕腌制菜以独特的风味广受好评,被誉为潮汕三宝之一,是连结海内外潮人的思乡菜,也是很多潮汕人早餐必备杂咸,其制作技艺在汕头市龙湖区澄海区及周边村镇历史悠久流传广泛,已形成