wireshark抓包分析

1、 用wireshark分析Http 和 Dns 報文一、 http請求報文和響應(yīng)報文 wireshark所抓的一個含有http請求報文的幀：1、 幀的解釋鏈路層的信息上是以幀的形式進行傳輸?shù)?，幀封裝了應(yīng)用層、傳輸層、網(wǎng)絡(luò)層的數(shù)據(jù)。而wireshark抓到的就是鏈路層的一幀。圖中解釋：Frame 18： 所抓幀的序號是11，大小是409字節(jié)Ethernet ： 以太網(wǎng)，有線局域網(wǎng)技術(shù) ，屬鏈路層Inernet Protocol：即IP協(xié)議，也稱網(wǎng)際協(xié)議，屬網(wǎng)絡(luò)層Transmisson Control Protocol：即TCP協(xié)議，也稱傳輸控制協(xié)議。屬傳輸層Hypertext transfer

2、protocol：即http協(xié)議，也稱超文本傳輸協(xié)議。屬應(yīng)用層 圖形下面的數(shù)據(jù)是對上面數(shù)據(jù)的16進制表示。2、 分析上圖中的http請求報文報文分析：請求行：GET /img/2009people_index/images/hot_key.gif HTTP/1.1 方法字段 / URL字段 /http協(xié)議的版本 我們發(fā)現(xiàn)，報文里有對請求行字段的相關(guān)解釋。該報文請求的是一個對象，該對象是圖像。首部行： Accept: */*Referer: 這是網(wǎng)站網(wǎng)址Accept-Language: zh-cn 語言中文Accept-Encoding: gzip, deflate 可接受編碼，文件格式User

3、-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; CIBA; .NET CLR 2.0.50727; .NET CLR 1.1.4322; .NET CLR 3.0.04506.30; 360SE)用戶代理，瀏覽器的類型是Netscape瀏覽器；括號內(nèi)是相關(guān)解釋Host: 目標(biāo)所在的主機Connection: Keep-Alive 激活連接在抓包分析的過程中還發(fā)現(xiàn)了另外一些http請求報文中所特有的首部字段名，比如下面http請求報文中橙黃色首部字段名：Accept: */*Referer: 這是html文件網(wǎng)址Ac

4、cept-Language: zh-cn 語言中文Accept-Encoding: gzip, deflate 可接受編碼，文件格式If-Modified-Since: Sat, 13 Mar 2010 06:59:06 GMT 內(nèi)容是否被修改：最后一次修改時間 If-None-Match: 9a4041-197-2f11e280 關(guān)于資源的任何屬性 （ ETags值） 在ETags的值中可以體現(xiàn)，是否改變User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; CIBA; .NET CLR 2.0.50727; .

5、NET CLR 1.1.4322; .NET CLR 3.0.04506.30; 360SE) 用戶代理，瀏覽器的類型是Netscape瀏覽器；括號內(nèi)是相關(guān)解釋Host: 目標(biāo)所在的主機Connection: Keep-Alive 激活連接Cookie: cdb_sid=0Ocz4H; cdb_oldtopics=D345413D; cdb_visitedfid=17; _gads=ID=7ab350574834b14b:T=1287731680:S=ALNI_Mam5QHAAK2cJdDTRuSxY24VDbjc1A cookie，允許站點跟蹤用戶，coolie ID是7ab35057483

6、4b14b3、 分析http的響應(yīng)報文，針對上面請求報文的響應(yīng)報文如下：wireshark對于2中http請求報文的響應(yīng)報文：展開http響應(yīng)報文：報文分析：狀態(tài)行：HTTP/1.0 200 OK 首部行：Content-Length: 159 內(nèi)容長度Accept-Ranges: bytes 接受范圍Server: nginx 服務(wù)器X-Cache: MISS from 經(jīng)過了緩存服務(wù)器Via:80(squid/2.6.STABLE14-20070808) 路由響應(yīng)信息Date: Fri, 22 Oct 2010 12:09:42 GMT 響應(yīng)信息創(chuàng)建的時間Content-Type: ima

7、ge/gif 內(nèi)容類型 圖像Expires: Fri, 22 Oct 2010 12:10:19 GMT 設(shè)置內(nèi)容過期時間Last-Modified: Fri, 11 Jun 2010 00:50:48 GMT 內(nèi)容最后一次修改時間Powered-By-ChinaCache:PENDING from CNC-BJ-D-3BA ChinaCache的是一家領(lǐng)先的內(nèi)容分發(fā)網(wǎng)絡(luò)（CDN）在中國的服務(wù)提供商。Age: 34 緩存有效34天Powered-By-ChinaCache: HIT from USA-SJ-1-3D3ChinaCache是一家領(lǐng)先的內(nèi)容分發(fā)網(wǎng)絡(luò)（CDN）在中國的服務(wù)提供商。Co

8、nnection: keep-alive 保持TCP連接圖中最后一行compuserve GIF 是對所傳圖像的信息的描述GIF是compuserve公司開發(fā)的圖像格式標(biāo)準。二、 DNS查詢報文和回答報文1、 Wireshark所抓的DNS查詢報文：該查詢報文是查詢 的IP地址，使用的傳輸層協(xié)議是UDP協(xié)議。展開DNS查詢報文： 報文分析： 首部區(qū)域：標(biāo)識符：Transaction ID: 0x4b48 16位比特數(shù)，標(biāo)志該查詢標(biāo)志： Flags： 0x0100（standard query） 0 . .= Respone：Messsage is a query 0表示為dns查詢報文.000

9、 0 . .=opcode： standard query(0) 操作碼為標(biāo)準查詢. .0. . .=Truncated：message is not truncated 信息沒有被截斷. .1. . .=Recursion desired：Do query recursively 執(zhí)行遞歸查詢. . .0. .=z：reserved（0）. . 0 .=Nontheticated data： unacceptable 問題數(shù)：Question:1 只查詢一個主機名回答RR數(shù)：Answer RRS:0權(quán)威RR數(shù)：Authority RRS:0 附加RR數(shù)：Additional RRS:0問題區(qū)

10、域：問題（問題變量數(shù)）：: type A, class IN 查詢一個主機回答（資源記錄的變量數(shù)）： Name：Type A(Host address) class：IN(0x0001) 包含最初請求的名字的資源記錄權(quán)威（資源記錄的變量數(shù)）：無附加信息： 無2、Wireshark 對應(yīng)的DNS回答報文：展開DNS回答報文：報文分析： 首部區(qū)域：標(biāo)識符：Transaction ID: 0x4b48 16位比特數(shù)，與對應(yīng)的查詢報文標(biāo)識符相同標(biāo)志： Flags： 0x8180（standard query） 問題數(shù)：Question:1 表示只查詢一個主機回答RR數(shù)：Answer RRS:5 表示該主機對應(yīng)的有5條資源記錄權(quán)威RR數(shù)：Authority RRS:0附加RR數(shù)：Addit