Wireshark入門教程ppt課件

1、.1Wireshark 使用心得使用心得.2飲水思源 感謝感謝EtherealEthereal和和WiresharkWireshark的創(chuàng)建者的創(chuàng)建者GeraldGerald CombsCombs以及為以及為它們的發(fā)展而做出它們的發(fā)展而做出努力的上千名開發(fā)努力的上千名開發(fā)人員人員！.3下載/安裝.4啟動抓包.5選擇抓包的網(wǎng)卡.6定義抓包選項.7網(wǎng)卡混雜模式.8雙網(wǎng)卡橋接設(shè)置.9Tips.10Capture filter.11Capture filter語法： ProtocolDirectionHost(s)ValueLogical OperationsOther expression例子：tc

2、pdst80andtcp dst 3128.12Capture filter.13Capture filter.14例子.15Tips.16Capture filter profile.17抓包顯示選項.18開始抓包.19停止抓包.20Display filter.21Display filter語法：ProtocolString 1String 2ComparisonoperatorValueLogicalOperationsOther expression例子：ftppassiveip=xoricmp.type.22Display filt

3、er.23Display filter.24Display filter英文寫法：C語言寫法：含義：eq = 等于ne != 不等于gt 大于lt = 大于等于le = 小于等于contains contains 包含matchesmatches符合.25Display filter.26Display filter英文寫法：C語言寫法：含義：and& 邏輯與or | 邏輯或xor 邏輯異或not ! 邏輯非.27例子 表達(dá)式正確表達(dá)式正確 表達(dá)式錯誤表達(dá)式錯誤如果過濾器的語法是正確的，表達(dá)式的背景呈綠色。如果呈紅色，說明表達(dá)式有誤.28Tips.29Display filter.30

4、Display filter.31Display filter.32察看數(shù)據(jù)包.33抓客戶端證書演示.34抓客戶端證書演示.35抓客戶端證書演示.36直接抓客戶端證書演示.37直接抓客戶端證書演示.38Tips.39Tips.40Tips.41Tips - Preferences.42Tips - Preferences.43Tips Decode As.44Tips Decode As.45Tips Decode As.46王翊心王翊心Wireshark 高階高階.47使用Profile定制Wireshark.48使用Profile定制Wireshark鼠標(biāo)右鍵單擊Wireshark界面右下

5、角Profile選擇配置profile.49使用Profile定制Wireshark鼠標(biāo)左鍵單擊Wireshark界面右下角Profile選擇不同的profile.50使用Profile定制Wireshark.51Expert Info CompositenChat (灰色灰色): HTTP Gets, Application calls, TCP SYNs, FINs, 基本工作流信息nNote (青綠色青綠色): TCP Retransmissions, Resets, Keep-Alives, Duplicate ACKs, SNMP 等問題以及常見的應(yīng)用錯誤代碼例如HTTP 404nW

6、arn (黃色黃色): 警告, 錯序的數(shù)據(jù)包和非常見的應(yīng)用錯誤代碼nError (紅色紅色): 嚴(yán)重問題, 畸形數(shù)據(jù)包和校驗和錯誤.52TCP 序列號分析.53TCP 序號分析nTCP Retransmission : 發(fā)生在ACK超時限后發(fā)送方重傳數(shù)據(jù)包nTCP Fast Retransmission : 發(fā)生在ACK計時器到期之前發(fā)送方就開始重傳數(shù)據(jù)包。發(fā)送方接收到一些數(shù)據(jù)包，這些包的TCP序號大于ACK過的數(shù)據(jù)包TCP序號。發(fā)送方收到3個以上DUP ACK時應(yīng)該啟動快速重傳。nTCP_Out-of-order : 在一個連接中收到數(shù)據(jù)包的TCP序號小于之前收到的數(shù)據(jù)包的TCP序號nTCP

7、 Previous segment lost : 在一個連接中收到的數(shù)據(jù)包的TCP序號大于期望的下一個應(yīng)該收到的數(shù)據(jù)包的TCP序號，表明中間有一個或多個數(shù)據(jù)包沒有按預(yù)期到達(dá)。通?；睾蚑CP Retransmission伴生.54TCP 序號分析nTCP_ACKed_lost_segment : 收到的ACK和發(fā)送的數(shù)據(jù)數(shù)據(jù)包段不匹配。nTCP Keep-Alive : 發(fā)生在TCP序號等于上一個數(shù)據(jù)包中的數(shù)據(jù)的最后一個字節(jié)。用來讓接收方發(fā)送一個ACK。nTCP Keep-Alive ACK : 對于 TCP Keep-Alive響應(yīng)的ACK數(shù)據(jù)包nTCP DupACK : 發(fā)生在看到同樣的AC

8、K號并且小于發(fā)送方發(fā)送的數(shù)據(jù)的最后一個字節(jié)。如果接收方發(fā)覺接收到數(shù)據(jù)包的TCP序號間有間隔，它將為這個連接上每一個后續(xù)的數(shù)據(jù)包生成一個DUP ACK，直到丟失的數(shù)據(jù)包被成功接收（重傳成功）。 它可以明確的表明有丟棄/丟失的數(shù)據(jù)包。.55TCP 序號分析nTCP ZeroWindow : 發(fā)生在接收方聲明它的接收窗口大小為零。這會告訴發(fā)送方停止發(fā)送數(shù)據(jù)，因為接收方的接收緩沖區(qū)已經(jīng)滿了。這表明接收方有資源方面的問題，應(yīng)用不能及時地從TCP緩沖區(qū)中提取數(shù)據(jù)。nTCP ZerowindowProbe : 發(fā)送方通過發(fā)送數(shù)據(jù)的下一個字節(jié)以觸發(fā)接收方回應(yīng)一個ACK，看看接收方接收窗口滿的情形是否繼續(xù)存在。

9、如果接收窗口還是零，發(fā)送方在下一次試探之前將其維持計數(shù)器的事件乘二。nTCP ZeroWindowViolation : 發(fā)送方不理睬接收窗口為零的信息，繼續(xù)發(fā)送數(shù)據(jù)。.56TCP 序號分析nTCP WindowUpdate : 當(dāng)應(yīng)用從TCP接收緩沖區(qū)中收走數(shù)據(jù)后，會在TCP層發(fā)送一個WindowUpdate數(shù)據(jù)包給發(fā)送方，表明接收緩沖區(qū)中有更多的空間來接收數(shù)據(jù)。通常都發(fā)生在ZeroWindow后，并且在WindowUpdate數(shù)據(jù)包中告知接收緩沖區(qū)的大小。nTCP WindowFull : 當(dāng)數(shù)據(jù)包段中載荷數(shù)據(jù)將全部填滿另一端的接收緩沖區(qū)時，這個標(biāo)志將被設(shè)在該數(shù)據(jù)包段中。發(fā)送方知道它已經(jīng)發(fā)

10、送的數(shù)據(jù)足以填滿接收緩沖區(qū)，必須馬上停止發(fā)送數(shù)據(jù)直到至少有一些數(shù)據(jù)被確認(rèn)收到。這會引起發(fā)送方和接收方之間數(shù)據(jù)傳遞的延遲，降低吞吐量。這個事件發(fā)生時，另一端的接收方也許會發(fā)生ZeroWindow的情況，并發(fā)回TCP ZeroWindow 。需要注意的是即便沒有ZeroWindow，這種情形也會發(fā)生。.57Coloring Rulen規(guī)則名稱n規(guī)則條件n前端顏色（字體顏色）n后端顏色（背景顏色）n規(guī)則順序（上端的規(guī)則首先被執(zhí)行）.58ConversationsnA端地址、端口nB端地址、端口nA端到B端數(shù)據(jù)量、數(shù)據(jù)包數(shù)nB端到A端的數(shù)據(jù)量、數(shù)據(jù)包數(shù)n起始時間n持續(xù)時間（通過Duration和數(shù)據(jù)包

11、數(shù)量和大小可以找出通信時間較長的會話，配合tcp.time_delta 過濾條件可以比較容易地定位發(fā)送方或接收方的性能問題）nA端到B端bpsnB端到A端bps.59tcp.time_delta.60添加tcp.time_delta顯示列.61添加tcp.time_delta Coloring rule.62解密SSL數(shù)據(jù)包.63解密SSL數(shù)據(jù)包.64解密SSL數(shù)據(jù)包.65解密SSL數(shù)據(jù)包不帶私鑰保護(hù)口令的PEM格式私鑰文件:-BEGIN RSA PRIVATE KEY-MIICXgIBAAKBgQDrHdbb+yGE6m6EZ03bXURpZCjch2H6g97ZAkJVGrjLZFfett

12、BAEYa8vYYxWsf8KBpEZeksSCsDA9MnU2H6QDjzqdOnaSWfeXMAr4OsCOpauStpreq7q1hk8iOqy+f4KijRrhWplh1QW1A8gtSIg137pyUhW+WsfwxKwmzjGIC1SwIDAQABAoGBAMneA9U6KIxjb+JUg/99c7h9W6wEvTYHNTXjf6psWA+hpuQ82E65/ZJdszL6.b6QKMh16r5wd6smQ+CmhOEnqqyT5AIwwl2RIr9GbfIpTbtbRQw/EcQOCx9wFiEfotGSsEFi72rHK+DpJqRI9AkEA72gdyXRgPfGOS3rfQ

13、3DBcImBQvDSCBa4cuU1XJ1/MO93a8v9Vj87/yDm4xsBDsoz2PyBepawHVlIvZ6jDD0aXw=-END RSA PRIVATE KEY-帶私鑰保護(hù)口令的PEM格式私鑰文件:-BEGIN RSA PRIVATE KEY-Proc-Type: 4,ENCRYPTEDDEK-Info: DES-EDE3-CBC,F6C218D4FA3C8B66FR2cnmkkFHH45Dcsty1qDiIUy/uXn+9m/xeQMVRxtiSAmBmnUDUFIFCDDiDc9yifERok2jPr2BzAazl5RBxS2TY/+7x0/dHD11sF3LnJUoN

14、ruo77TERxqgzOI0W1VDRA.ygw5JslxgiN18F36E/cEP5rKvVYvfEPMa6IsiRhfZk1jLAuZihVWc7JodDf+6RKVyBXrK/bDtdEih+bOnYu+ZDvjAzVz9GhggCW4QHNboDpTxrrYPkj5Nw=-END RSA PRIVATE KEY-.66解密SSL數(shù)據(jù)包rootlocalhost# openssl rsa -in encrypted.key -out cleartext.keyEnter pass phrase for encrypted.key: writing RSA keyrootlocalhost#rootlocalhost# openssl pkcs12 -in pem.cert -inkey pem.key -export -out cert.pkcs12 Enter Export Password: Verifying - Enter Export Password: rootlocalhos