Wireshark使用笔记

标签：

1、网卡选择

wireshark是捕获一块网卡中的网络包，如果机器存在多个网卡，需要选择被测的网卡，选择方法：Capture-Interfaces 中选择

勾选完被测网卡后，点击start即可开始抓包。

2、窗口介绍：

wireshark的界面主要如下：

Display Filter（显示过滤器）：用于过滤；

Packet List Pane（封包列表）：显示捕获到的封包， 有源地址和目标地址，端口号。 颜色不同，代表不同，如绿色TCP报文，深蓝色DNS，浅蓝色UDP，黑色有问题的TCP报文-如乱序报文；

Packet Details Pane(封包详细信息)：显示封包中的字段；

Dissector Pane（16进制数据）；

Miscellanous（地址栏，杂项）

3、wireshart显示过滤

这部分是初学的时候最应该理解和掌握的，因为如果不用过滤显示的话，那么抓取的包会很多，我们很难在众多的数据包中得到我们想要的东西，

过滤器有两种，

一种是显示过滤器，就是主界面上那个，用来在捕获的记录中找到所需要的记录

一种是捕获过滤器，用来过滤捕获的封包，以免捕获太多的记录。 在Capture -> Capture Filters 中设置

4、过滤表达式的规则：

1） 协议过滤

比如TCP，只显示TCP协议。

只抓取HTTP报文：tcp port 80

　　解析：上面是分W只抓取tcp 协议中80端口的包，大部eb网站都是工作在80端口的，如果碰到了81端口呢？可以使用逻辑运算符or呗！如 tcp port 80 or tcp port 81

2）IP 过滤

比如 ip.src ==192.168.1.102 显示源地址为192.168.1.102，

ip.dst==192.168.1.102, 目标地址为192.168.1.102

3） 端口过滤

tcp.port ==80,  端口为80的

tcp.srcport == 80,  只显示TCP协议的愿端口为80的。

4）Http模式过滤

http.request.method=="GET",   只显示HTTP GET方法的。

5） 逻辑运算符为 AND/ OR

6）只抓取arp报文：ether proto 0x0806

解析：ether表示以太网头部，proto表示以太网头部proto字段值为0x0806，这个字段的值表示是ARP报文，如果的ip报文此值为0x8000

7）只抓取与某主机的通信：host www.XXXX.com

5、封包详细信息：

这个面板是我们最重要的，用来查看协议中的每一个字段。

各行信息分别为

Frame:   物理层的数据帧概况

Ethernet II: 数据链路层以太网帧头部信息

Internet Protocol Version 4: 互联网层IP包头部信息

Transmission Control Protocol:  传输层T的数据段头部信息，此处是TCP

Hypertext Transfer Protocol:  应用层的信息，此处是HTTP协议

6、wireshart与对应的OSI七层模型：

7、TCP包中的具体内容：

8、实例分析TCP三次握手过程

三次握手过程为：

Wireshark使用笔记

标签：

原文地址：http://www.cnblogs.com/sylovezp/p/4252178.html