實(shí)驗(yàn)四wireshark教程

1、Wireshark 教程當(dāng)前，互聯(lián)網(wǎng)已經(jīng)越來(lái)越成為人們生活中必不可少的組成部分。面對(duì)日益復(fù)雜的網(wǎng)絡(luò)環(huán)境，網(wǎng)絡(luò)管理員必須花費(fèi)更很多的時(shí)間和精力，來(lái)了解網(wǎng)絡(luò)設(shè)備的運(yùn)作情況，以維持系統(tǒng)的正常運(yùn)行。 當(dāng)網(wǎng)絡(luò)趨于復(fù)雜，就必須借助于專(zhuān)業(yè)的工具了。因此，作為一個(gè)網(wǎng)絡(luò)管理人員和網(wǎng)絡(luò)從業(yè)者， 熟練掌握和運(yùn)用一套網(wǎng)絡(luò)管理軟件來(lái)對(duì)整個(gè)網(wǎng)絡(luò)進(jìn)行協(xié)議分析，是一個(gè)必不可少的技能。當(dāng)前較為流行的網(wǎng)絡(luò)協(xié)議嗅探和分析軟件 Wireshark 。通過(guò)使用抓包工具，來(lái)準(zhǔn)確而快速地判斷網(wǎng)絡(luò)問(wèn)題的所在，大大縮短尋找問(wèn)題的時(shí)間。網(wǎng)絡(luò)管理人員的私人秘書(shū) Wireshark網(wǎng)絡(luò)流量分析是指捕捉網(wǎng)絡(luò)中流動(dòng)的數(shù)據(jù)包，并通過(guò)查看包內(nèi)部數(shù)據(jù)以及進(jìn)行

2、相關(guān)的協(xié)議、 流量分析、統(tǒng)計(jì)等來(lái)發(fā)現(xiàn)網(wǎng)絡(luò)運(yùn)行過(guò)程中出現(xiàn)的問(wèn)題，它是網(wǎng)絡(luò)和系統(tǒng)管理人員進(jìn)行網(wǎng)絡(luò)故障和性能診斷的有效工具。通常， 人們把網(wǎng)絡(luò)分析總結(jié)為四種方式：基于流量鏡像協(xié)議分析，基于SNMP 的流量監(jiān)測(cè)技術(shù)，基于網(wǎng)絡(luò)探針（Probe ）技術(shù)和基于流（flow ）的流量分析。而我們下面要向大家介紹的Wireshark 就是基于流量鏡像協(xié)議分析。流量鏡像協(xié)議分析方式是把網(wǎng)絡(luò)設(shè)備的某個(gè)端口（鏈路） 流量鏡像給協(xié)議分析儀，通過(guò)7 層協(xié)議解碼對(duì)網(wǎng)絡(luò)流量進(jìn)行監(jiān)測(cè)。但該方法主要側(cè)重于協(xié)議分析，而非用戶流量訪問(wèn)統(tǒng)計(jì)和趨勢(shì)分析，僅能在短時(shí)間內(nèi)對(duì)流經(jīng)接口的數(shù)據(jù)包進(jìn)行分析，無(wú)法滿足大流量、長(zhǎng)期的抓包和趨勢(shì)分析的要求

3、。Wireshark 的前身是著名的Ethereal 。 Wireshark 是一款免費(fèi)的網(wǎng)絡(luò)協(xié)議檢測(cè)程序。它具有設(shè)計(jì)完美的GUI 和眾多分類(lèi)信息及過(guò)濾選項(xiàng)。下面是Wireshark 的界面。用戶通過(guò)Wireshark ， 同時(shí)將網(wǎng)卡插入混合模式，可以用來(lái)監(jiān)測(cè)所有在網(wǎng)絡(luò)上被傳送的包，并分析其內(nèi)容。通過(guò)查看每一封包流向及其內(nèi)容，用來(lái)檢查網(wǎng)絡(luò)的工作情況，或是用來(lái)發(fā)現(xiàn)網(wǎng)絡(luò)程序的bugs 。 Wireshark 是一個(gè)開(kāi)放源碼的網(wǎng)絡(luò)分析系統(tǒng)，也是是目前最好的開(kāi)放源碼的網(wǎng)絡(luò)協(xié)議分析器，支持Unix Linux 和 Windows 平臺(tái)。由于Wireshark 是 OpenSource ， 更新快，支持的

4、協(xié)議多，特別是數(shù)據(jù)包過(guò)濾功能靈活強(qiáng)大。Wireshark 提供了對(duì)TCP 、 UDP 、 SMB 、 telnet 和 ftp 等常用協(xié)議的支持。它在很多情況下可以代替價(jià)格 昂貴的 Sniffer 。安裝好后，雙擊桌面上的Wireshark 圖標(biāo)， 運(yùn)行軟件。再捕捉數(shù)據(jù)包之前，首先要對(duì)捕獲的條件進(jìn)行設(shè)置。點(diǎn)擊工具欄里的“Capture a Options ”，（圖一）或者直接點(diǎn)擊 快捷按鈕（圖二），打開(kāi)選項(xiàng)設(shè)置頁(yè)面（圖三）。首先，我們要在Interface里選擇正確的捕獲接口，即要進(jìn)行報(bào)文捕獲的網(wǎng)卡。Wireshark支持無(wú)線 WLAN的相關(guān)協(xié)議，具體設(shè)置如下：下面是一些常用設(shè)置項(xiàng)的解釋?zhuān)篒n

5、terface :選擇捕獲接口Capture packets in promiscuous mode:表示是否打開(kāi)混雜模式，打開(kāi)即捕獲所有的報(bào)文Limit each packet :表示限制每個(gè)報(bào)文的大小，缺省情況不限制。Capture Filter :過(guò)濾器，只抓取滿足過(guò)濾規(guī)則的包。（可暫時(shí)略過(guò)）Capture files :即捕獲數(shù)據(jù)包的保存的文件名以及保存位置。其他的選項(xiàng)按照?qǐng)D三的設(shè)置即可。 Capture Option確認(rèn)選擇后，點(diǎn)擊ok就開(kāi)始進(jìn)行抓包。下面的界面會(huì)以協(xié)議的不同，統(tǒng)計(jì)捕獲到報(bào)文各占的百分比，此時(shí)，點(diǎn)擊stop即可以停止抓包。的設(shè)置，我們也有C Capture 和 Nam

6、e Resolution ”里預(yù)先做好網(wǎng)當(dāng)然，如果不想每次打開(kāi)Wireshark 都重復(fù)上述Capture Option很好的辦法。在 Edit a Preferences卡和其他選項(xiàng)的設(shè)置做好預(yù)設(shè)之后，在每次打開(kāi)Wireshark,直接點(diǎn)擊工具欄的開(kāi)始按鈕,就可以開(kāi)始抓包了。本期向大家介紹了 Wireshark的簡(jiǎn)單原理，軟件特色，Wireshark 的安裝和使用設(shè)置。通過(guò)本期的介紹，大家已經(jīng)可以使用 Wireshark 捕獲數(shù)據(jù)包了。在下期，我們將向大家介 紹Wireshark 最有特色并且強(qiáng)大的數(shù)據(jù)包過(guò)濾功能，通過(guò)過(guò)濾，從而有的放矢的得到我們 希望得到的數(shù)據(jù)包.Wireshark下面的語(yǔ)

7、句首先打開(kāi)軟件開(kāi)始抓包，步驟都不多說(shuō)了，菜單欄里面有一個(gè) Statistics ,下拉菜單 里面有個(gè) Summary和一個(gè)lOGraphs ,如圖：圖一（Statistics 菜單-Wireshark ）Summary里面用數(shù)據(jù)說(shuō)明抓到的平均流量是多少，而lOGraphs用圖形表示了你抓數(shù)據(jù)的流量：圖二（Summary-Wireshark ）圖三（IOGraphs-Wireshark ）Summary里面有兩個(gè)filter , 一個(gè)是捕捉的，一個(gè)是顯示的，建議你在查看流量的時(shí)候 先定義capture Filter ,這樣顯示出來(lái)的就是你需要抓的流量的匯總信息。需要注意的是， 這個(gè)地方無(wú)法實(shí)時(shí)更

8、新，也就是說(shuō)，如果你抓包沒(méi)停下的話，每次打開(kāi)Summary得到的數(shù)據(jù)都不一樣。IO Graphs里面可以實(shí)時(shí)顯示你抓的流量的圖形，你也可以自己定義一些參數(shù)，用這個(gè) 的話，可以不定義 capture Filter ,而直接在圖形里面選擇Filter ,或者直接將過(guò)濾表達(dá)式寫(xiě)到Filter 后面那一欄里面，也可以顯示你需要的流量。不過(guò)缺點(diǎn)是，只有圖，鼠標(biāo)放 上去沒(méi)有數(shù)字顯示，也就是說(shuō)，你沒(méi)有辦法知道具體某個(gè)時(shí)間點(diǎn)的流量。圖四（file 定義窗口 -Wireshark ）用 WireShark觀察網(wǎng)絡(luò)流量Capture Option 對(duì)話框1、Interface （接口）和 Link-layer h

9、eader type（鏈路層頭部）類(lèi)型選項(xiàng)2、Limit each packet to N bytes（ 將每個(gè)分組限制在 N個(gè)字節(jié)以內(nèi)）3、 Capture packets in promiscuous mode（在混雜模式下捕獲分組）4、Filter（過(guò)濾器）5、Capture files（捕獲文件）6、Display Options（顯示選項(xiàng)）7、Stop Capture （停止捕獲）8、Name resolution（名字解析）幀層（Frame）在幀層（Frame） , Wireshark記錄真實(shí)的捕獲時(shí)間、第一個(gè)分組與前一個(gè)分組的相對(duì)時(shí)間 增量、幀序號(hào)、分組長(zhǎng)度以及捕獲長(zhǎng)度。以太網(wǎng)幀

10、層以太網(wǎng)的首部占用14字節(jié)，6字節(jié)目的地址和 6字節(jié)源地址，2字節(jié)表示類(lèi)型。例如：以太網(wǎng)的類(lèi)型為（08 00 ）。IP層傳輸層TCP頭部是20個(gè)字節(jié)。2個(gè)字節(jié)源端口和目的端口。4字節(jié)的序列號(hào)，4字節(jié)確認(rèn)號(hào)。1個(gè)字節(jié)的數(shù)據(jù)偏移和標(biāo)記。2個(gè)字節(jié)的窗口大小，2個(gè)字節(jié)的校驗(yàn)和，2個(gè)字節(jié)的緊急指針。源端口：指定了發(fā)送端的端口目的端口：指定了接受端的端口號(hào)序號(hào)：指明了段在即將傳輸?shù)亩涡蛄兄械奈恢么_認(rèn)號(hào)：規(guī)定成功收到段的序列號(hào)，確認(rèn)序號(hào)包含發(fā)送確認(rèn)的一端所期望收到的下一個(gè)序號(hào)TCP偏移量：指定了段頭的長(zhǎng)度。段頭的長(zhǎng)度取決與段頭選項(xiàng)字段中設(shè)置的選項(xiàng)保留：指定了一個(gè)保留字段，以備將來(lái)使用標(biāo)志：SYN ACK P

11、SH RST URG FINSYN 表示同步ACK 表不確認(rèn)PSH 表示盡快的將數(shù)據(jù)送往接收進(jìn)程RST 表示復(fù)位連接URG表示緊急指針FIN:表示發(fā)送方完成數(shù)據(jù)發(fā)送窗口 ：指定關(guān)于發(fā)送端能傳輸?shù)南乱欢蔚拇笮〉闹噶钚ｒ?yàn)和：校驗(yàn)和包含 TCP段頭和數(shù)據(jù)部分，用來(lái)校驗(yàn)段頭和數(shù)據(jù)部分的可靠性緊急：指明段中包含緊急信息，只有當(dāng)URG標(biāo)志置1時(shí)緊急指針才有效選項(xiàng)：指定了公認(rèn)的段大小，時(shí)間戳，選項(xiàng)字段的末端，以及指定了選項(xiàng)字段的邊界選項(xiàng)快捷鍵描述Tab,Shift+Tab在兩個(gè)項(xiàng)目間移動(dòng)，例如從一個(gè)色列表移動(dòng)到下一個(gè)Down移動(dòng)到下一個(gè)包或者下一個(gè)詳情Up移動(dòng)到個(gè)包或者個(gè)詳情Ctrl-Down,F8移動(dòng)到卜

12、一個(gè)包，即使焦點(diǎn)/、在 Packet list 面版Ctrl-UP,F7移動(dòng)到前一個(gè)報(bào)文，即使焦點(diǎn)/、在 Packet list 面版Left在Pactect Detail 面版，關(guān)閉被選擇的詳情樹(shù)狀分支。如果 以關(guān)閉，則返回到父分支。Right在Packet Detail面版，打開(kāi)被選擇的樹(shù)狀分支.BackspacePacket Detail 面版，返回到被選擇的節(jié)點(diǎn)的父節(jié)點(diǎn)Return,EnterPacket Detail 面版，固定被選擇樹(shù)項(xiàng)目。Packet list 和Detail面版控制可以通過(guò)快捷鍵進(jìn)行另外，在主窗口鍵入任何字符都會(huì)填充到filter 里面.File菜單菜單項(xiàng)Ope

13、n.快捷鍵Ctr+O描述顯示打開(kāi)文件對(duì)話框，讓您載入捕捉文件用以瀏覽。Open Recent彈出一個(gè)子菜單顯示最近打開(kāi)過(guò)的文件供選擇Merg顯示合并捕捉文件的對(duì)話框。 讓您選擇一個(gè)文件和當(dāng)前打開(kāi)的文件合并Close Ctrl+W關(guān)閉當(dāng)前捕捉文件，如果您未保存，系統(tǒng)將提示您是 否保存（如果您預(yù)設(shè)了禁止提示保存，將不會(huì)提示）SaveCrl+S保存當(dāng)前捕捉文件，如果您沒(méi)有設(shè)置默認(rèn)的保存義件 名，Wireshark出現(xiàn)提不您保存義件的對(duì)話框。詳情 注意 如果您已經(jīng)保存義件，該選項(xiàng)會(huì)是灰色不可選 的。注意您不能保存動(dòng)態(tài)捕捉的文件。您必須結(jié)束捕捉 以后才能進(jìn)行保存Save AsShift+Ctrl+S讓您

14、將當(dāng)前文件保存為另外一個(gè)文件面，將會(huì)出現(xiàn)一個(gè)另存為的對(duì)話框File SetList Files允許您顯示文件集合的列表。 將會(huì)彈出一個(gè)對(duì)話框顯示已打開(kāi)文件的列表，F(xiàn)ile SetNext File如果當(dāng)前載入文件是文件集合的一部分，將會(huì)跳轉(zhuǎn)到下一個(gè)文件。如果不是，將會(huì)跳轉(zhuǎn)到最舟-個(gè)文件。這個(gè)文件選項(xiàng) 將會(huì)是灰色File setPreviousFiles如果當(dāng)前文件是文件集合的一部分，將會(huì)調(diào)到它所在位置的前一個(gè)文件。如果不是則跳到文件集合的A 個(gè)文件，同時(shí)變成灰色。Exportas PlainText File 這個(gè)菜單允許您將捕捉文件中所有的或者部分的包導(dǎo)出為plainASCII text 格

15、式。它將會(huì)彈出一個(gè)Wireshark 導(dǎo)出對(duì)話框Export as PostScript Files將捕捉文件的全部或部分導(dǎo)出為PostScrit 文件。將會(huì)出現(xiàn)導(dǎo)出文件對(duì)話框。Export as CVS (Comma Separated Values Packet Summary)File導(dǎo)出文件全部或部分摘要為.cvs格式（可用在電子表格中）。將會(huì)彈出導(dǎo)出對(duì)話框Export as PSMLFile 導(dǎo)出文件的全部或部分為 PSML格式（包摘要標(biāo)記語(yǔ) 言）XML文件。將會(huì)彈出導(dǎo)出文件對(duì)話框。Export as PDML File.導(dǎo)出文件的全部或部分為 PDML包摘要標(biāo)記語(yǔ)言）格 式的XML

16、文件。將會(huì)彈出一個(gè)導(dǎo)出文件對(duì)話框 ，Export SelectedPacket Bytes 導(dǎo)出當(dāng)前在Packet byte面版選擇的字節(jié)為一進(jìn)制文件。將會(huì)彈出一個(gè)導(dǎo)出對(duì)話框。PrintCtr+P打印捕捉包的全部或部分，將會(huì)彈出打印對(duì)話框Quit退出Ctrl+QWireshark,如果未保存文件，Wireshark 會(huì)提不是否保存.Edit菜單菜單項(xiàng)快捷鍵描述CopyAs FilterShift+Ctrl+C使用詳If面版選擇的數(shù)據(jù)作為顯示過(guò)濾。 顯示過(guò)濾將會(huì)拷貝到剪貼板。Find Packet.Ctr+F打什個(gè)對(duì)話框用來(lái)通過(guò)限制來(lái)查找包Find NextCtrl+N在使用Find packe

17、t以后，使用該采單會(huì) 查找匹配規(guī)則的下一個(gè)包Find PreviousCtr+B查找匹配規(guī)則的前一個(gè)包。Mark Packet(toggle)Ctrl+M標(biāo)記當(dāng)前選擇的包。Find Next MarkShift+Ctrl+N查找下一個(gè)被標(biāo)記的包Find Previous MarkCtrl+Shift+B查找前一個(gè)被標(biāo)記的包Mark ALL Packets標(biāo)記所有包Unmark All Packet取消所有標(biāo)記SetTimeReference(toggle)Ctrl+T以當(dāng)前包時(shí)間作為參考Find Next Reference找到下一個(gè)時(shí)間參考包FindPreviousRefrence.找到前一

18、個(gè)時(shí)間參考包Preferences.Shift+Ctrl+P打開(kāi)首選項(xiàng)對(duì)話框，個(gè)性化設(shè)置 Wireshark的各項(xiàng)參數(shù)，設(shè)置后的參數(shù)將 會(huì)在每次打開(kāi)時(shí)發(fā)揮作用。.View菜單菜單項(xiàng)快捷鍵描述Main Toolbar顯示隱藏Main toolbar（主工具欄）Filter Toolbar顯示或隱藏Filter Toolbar（過(guò)濾工具欄）Statusbar顯示或隱藏狀態(tài)Packet List顯本或隱藏Packet List pane（ 包列表向板）Packet Details顯本或隱藏Packet details pane（ 包詳情向板Packet Bytes顯本或隱藏packet Bytes

19、pane（ 包字節(jié)面板Time Display FromatDate and Time of Day: 1970-01-01 01:02:選擇這里告訴Wireshark將時(shí)間戳設(shè)置為絕對(duì) 日期-時(shí)間格式（年月日，時(shí)分秒）Time Display FormatTime of Day: 01:02:將時(shí)間設(shè)置為絕對(duì)時(shí)間-日期格式（時(shí)分秒格式）Time Display Format 將時(shí)間戳設(shè)置為秒格式，從捕捉開(kāi)始計(jì)時(shí)Seconds Since Beginning of Capture:Time Display Format Seconds Since Previous Captured Packe

20、t:將時(shí)間戳設(shè)置為秒格式，從上次捕捉開(kāi)始計(jì)時(shí)Time Display Format Seconds Since Previous Displayed將時(shí)間戳設(shè)置為秒格式，從上次顯示的包開(kāi)始計(jì)時(shí)Packet:Time Display Format Time Display Format Automatic (FileFormatPrecision)根據(jù)指定的精度選擇數(shù)據(jù)包中時(shí)間戳的顯示方 式Time Display Format Seconds: 0設(shè)置精度為1秒TimeDisplayFormat .seconds: 0.設(shè)置精度為1秒，秒，秒，百萬(wàn)分之一秒等等Name Resolution R

21、esolveName僅對(duì)當(dāng)前選定包進(jìn)行解析Name Resolution Enable for MAC Layer是否解析Mac地址Name Resolution Enable for Network Layer是否解析網(wǎng)絡(luò)層地址（ip地址）Name Resolution Enable for Transport Layer是否解析傳輸層地Colorize Packet List是否以彩色顯示包Auto Scroollin LiveCapture控制在實(shí)時(shí)捕捉時(shí)是否自動(dòng)滾屏，如果選擇了該項(xiàng)，在后新數(shù)據(jù)進(jìn)入時(shí)，面板會(huì)項(xiàng)上滾動(dòng)。您始 終能看到最后的數(shù)據(jù)。反之，您無(wú)法看到滿屏以 后的數(shù)據(jù)，除非您手動(dòng)

22、滾屏Zoom InCtrl+增大字體Zoom OutCtrl+-縮小字體Normal SizeCtrl+=恢復(fù)正常大小Resiz All Columnus恢復(fù)所后列寬Expend Subtrees展開(kāi)子分支Expand All看開(kāi)所有分支，該選項(xiàng)會(huì)展開(kāi)您選擇的包的所有 分支。Collapse All收縮所有包的所有分支Coloring Rulues.打心個(gè)對(duì)話框，讓您可以通過(guò)過(guò)濾表達(dá)來(lái)用不 同的顏色顯示包。這項(xiàng)功能對(duì)定位特定類(lèi)型的包非常有用Show Packet in New Window在新窗口顯示當(dāng)前包，（新窗口僅包含 View,ByteView兩個(gè)面板）ReloadCtrl+R重新再如當(dāng)

23、前捕捉文件.Go菜單菜單項(xiàng)快捷鍵描述BackAlt+Left跳到最近瀏覽的包，類(lèi)似于瀏覽器中的頁(yè)面歷史紀(jì)錄ForWardAlt+Right跳到下一個(gè)最近瀏覽的包，跟瀏覽器類(lèi)似Go to PacketCtrl+G打什個(gè)對(duì)話框，輸入指定的包序號(hào)，然后跳轉(zhuǎn)到對(duì)應(yīng) 的包GotoCorresponding Packet跳轉(zhuǎn)到當(dāng)前包的應(yīng)答包，如果/、存在，該選項(xiàng)為灰色PreviousPacketCtrl+UP移動(dòng)到包列表中的前一個(gè)包， 即使包列表囿板不是當(dāng)前 焦點(diǎn)，也是可用的Next PacketCtrl+Down移動(dòng)到包列表中的后,個(gè)包First Packet移動(dòng)到列表中的個(gè)包Last Packet移動(dòng)

24、到列表中的最斤-個(gè)包Capture菜單菜單項(xiàng)快捷鍵說(shuō)明Interface.在彈出對(duì)話框選擇您要進(jìn)行捕捉的網(wǎng)絡(luò)接口，Options.Ctrl+K打開(kāi)設(shè)置捕捉選項(xiàng)的對(duì)話框，并可以在此開(kāi)始捕捉Start立即開(kāi)始捕捉，設(shè)置都是參照最斤-次設(shè)置。StopCtrl+E停止正在進(jìn)行的捕捉Restart正在進(jìn)行捕捉時(shí)，停止捕捉，并按同樣的設(shè)置重新開(kāi)始捕 捉.Capture Filters.打開(kāi)對(duì)話框，編輯捕捉過(guò)濾設(shè)置，可以命名過(guò)濾器，保存 為其他捕捉時(shí)使用.Analyze”菜單菜單項(xiàng)快捷鍵說(shuō)明DisplayFilters.打開(kāi)過(guò)濾器對(duì)話框編輯過(guò)濾設(shè)置，可以命名過(guò)濾設(shè) 置，保存為其他地方使用ApplyasFilter.更改當(dāng)前過(guò)濾顯示并立即應(yīng)用。根據(jù)選擇的項(xiàng)，當(dāng)前顯示字段會(huì)被替換成選擇在Detail面板的協(xié)議字段PrepareaFilter.更改當(dāng)前顯示過(guò)濾設(shè)置，當(dāng)不會(huì)立即應(yīng)用。同樣根據(jù)當(dāng)前選擇項(xiàng)，過(guò)濾字符會(huì)被替換成Detail面板選擇的協(xié)議字段FirewallACLRules為多種不同的防火墻創(chuàng)建命令行ACL規(guī)則(訪問(wèn)控制 列表)，支持 Cisco IOS, LinuxNetfilter (iptables), OpenBSD pf and Windows Firewall(via ne