Wireshark详细使用教程

article/2025/10/9 8:21:03

在这里插入图片描述

简介

Wireshark是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包,并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口,直接与网卡进行数据报文交换。WireShark可以比喻做硬件工程的万用表、示波器,同样我们网络工程师或者软件工程师可以利用wireshark来进行分析网络。

wireshark可以做哪些事情?

1、利用wireshark进行tcp/ip知识的学习

在进行学习tcp/ip基础知识尤其是网络协议时异常枯燥,因为网络的问题看不见摸不着,所以很难去深入地进行理解,而wireshark正是将这些知识以一种网络数据包、可视化的形式给大奖呈现出来。

常见的tcp、udp、icmp、mqtt、http、ftp、pop3、tftp、dns、dhcp等,我们利用wireshark学习这些协议可以起到事半功倍的效果,我们将在接下来的一些列的博文中来介绍常见的tcp/ip协议。

2、利用wireshark工具进行网络问题的分析

wireshark问题通常都比较复杂,我们可以利用wireshark进行常见网络问题的分析,但是这一部分同时又涉及到tcp/ip的基础知识,在学习完基础的tcp/ip基础知识后,就可以利用Wireshark进行网络问题进行分析。通常利用wireshark解析以下几种常见问题:

  • 网络断开的问题
  • 网络数据是否发送以及发送的数据是否正确
  • 网络流量统计
  • 利用wireshark进行常见应用层问题分析

3、对于未知的协议进行抓包分析

在有些情况我们不知道设备端口号、ip地址,我们同样也可以利用wireshark进行问题的分析,定位问题。

下载及安装

windows下安装

安装方法如下:

  1. 打开网址 http://www.wireshark.org,进入 Wireshark 官网,如图所示。
    在这里插入图片描述
  2. 单击图中的下载图标进入下载页面,如图所示,选择合适的版本进行下载。
    在这里插入图片描述
  1. 下载好之后,双击.exe 文件开始进行安装,然后点击next。
    在这里插入图片描述
  2. 当弹出是否需要安装 WinPcap 的对话框时,务必确保 Install WinPcap
    选项已被勾选,如图 3-2 所示,然后单击 Install。安装过程便会随即开始。
    在这里插入图片描述
  3. Wireshark 的安装过程进行了大约一半的时候,会开始安装 WinPcap。在介绍页面单击 Next 之后,请阅读许可协议并单击 I Agree。
  4. 你将选择是否安装 USBPcap 选项。这是一个从 USB 设备中收集数据的工具。勾选你想要的复选框并单击 Next。
  5. WinPcap 和 USBPcap(如果你在上一步勾选了的话)应该已经安装到你的计算机上了,在安装完成之后,单击 Finish。
  6. Wireshark 应该已经安装到你的计算机上了,在安装完成之后,单击
    Finish。
  7. 在安装确认界面中,单击 Finish。

linux下安装

  1. 添加wireshark 下载链接地址,然后更新软件源

    sudo apt-add-repository ppa:wireshark-dev/stable
    sudo apt-get update

  2. 在命令行安装wireshark

    sudo apt-get install wireshark

    安装过程选择yes,非root用户也能抓包

    在这里插入图片描述

  3. 后续配置,新建wireshark 用户组,把当前用户加入wireshark 用户组

    sudo groupadd wireshark
    sudo chgrp wireshark /usr/bin/dumpcap
    sudo chmod 4755 /usr/bin/dumpcap
    sudo gpasswd -a your_username wireshark

    第一条命令是 新建wireshark 用户组,二、三条命令是配置和添加权限。第四条命令中的your_username 是当前系统的用户名。

  4. 安装完成啦,可以使用了

Wireshark 初步入门

1、打开wireshark 2.6.5,主界面如下:
在这里插入图片描述

2、选择菜单栏上Capture -> Option,勾选WLAN网卡(这里需要根据各自电脑网卡使用情况选择,简单的办法可以看使用的IP对应的网卡)。点击Start。启动抓包。
在这里插入图片描述
3、wireshark启动后,wireshark处于抓包状态中。
在这里插入图片描述
4、执行需要抓包的操作,如ping www.baidu.com。

5、操作完成后相关数据包就抓取到了。为避免其他无用的数据包影响分析,可以通过在过滤栏设置过滤条件进行数据包列表过滤,获取结果如下。说明:ip.addr == 119.75.217.26 and icmp 表示只显示ICPM协议且源主机IP或者目的主机IP为119.75.217.26的数据包。
在这里插入图片描述
6.到此完成。

主界面介绍

在这里插入图片描述

整体来说,界面主要分为以下几部分:

  • 菜单栏:Wireshark的标准菜单栏。

  • 工具栏:常用功能的快捷图标按钮,提供快速访问菜单中经常用到的项目的功能。

  • 过滤器:提供处理当前显示过滤得方法。

  • Packet List面板:显示每个数据帧的摘要。这里采用表格的形式列出了当前捕获文件中的所有数据包,其中包括了数据包序号、数据包捕获的相对时间、数据包的源地址和目标地址、数据包的协议以及在数据包中找到的概况信息等。

  • Packet Details面板:分析数据包的详细信息。这个面板分层次地显示了一个数据包中的内容,并且可以通过展开或是收缩来显示这个数据包中所捕获的全部内容。

  • Packet Bytes面板:以十六进制和ASCII码的形式显示数据包的内容。这里显 示了一个数据包未经处理的原始样子,也就是在链路上传播时的样子。

  • 状态栏:包含有专家信息、注释、包的数量和Profile。

菜单栏

在这里插入图片描述
File(文件) ——包括打开、合并捕捉文件,save/保存,Print/打印,Export/导出,捕捉文件的全部或部分。以及退出Wireshark 项。

Edit(编辑)——包括如下项目:查找包,时间参考,标记一个多个包,设置预设参数。(剪切,拷贝,粘贴不能立即执行。)

View(视图) ——控制捕捉数据的显示方式,包括颜色,字体缩放,将包显示在分离的窗口,展开或收缩详情面版的地树状节点

GO(跳转) ——包含到指定包的功能。

Capture(捕获)——控制抓包的对话框,包括接口,选项,开始/停止/重新开始和过滤器。

Analyze(分析) ——包含处理显示过滤,允许或禁止分析协议,配置用户指定解码和追踪TCP 流等功能。

Statistics(统计) ——包括的菜单项用户显示多个统计窗口,包括关于捕捉包的摘要,协议层次统计等等。

Help(帮助) ——包含一些辅助用户的参考内容。如访问一些基本的帮助文件,支持的协议列表,用户手册。

工具栏

在这里插入图片描述
①——使用最后一次的捕捉设置立即开始捕捉

②——停止当前捕捉

③——停止当前捕捉并立即重新开始

④——打开捕获窗口

过滤器

当进行数据包捕获时,只有那些满足给定的包含/排除表达式的数据包会被捕获。

常见的过滤条件有:

过滤源ip、目的ip——如查找目的地址为192.168.101.8的包,ip.dst192.168.101.8;查找源地址为ip.src1.1.1.1。

端口过滤——如过滤80端口,在Filter中输入,tcp.port80,这条规则是把源端口和目的端口为80的都过滤出来。使用tcp.dstport80只过滤目的端口为80的,tcp.srcport==80只过滤源端口为80的包。

协议过滤——比较简单,直接在Filter框中直接输入协议名即可,如过滤HTTP的协议

http模式过滤——如过滤get包,http.request.method==“GET”,过滤post包,http.request.method==“POST”

连接符and——过滤两种条件时,使用and连接,如过滤ip为192.168.101.8并且为http协议的,ip.src==192.168.101.8 and http。

Packet List面板

在这里插入图片描述
列表中的每行显示捕捉文件的一个包。如果您选择其中一行,该包得更多情况会显示在"Packet Detail/包详情","Packet Byte/包字节"面板。

Packet List面板中默认包含了几列,如No、Time、Source和Destination等。

  • No. 包的编号,编号不会发生改变,即使进行了过滤也同样如此
  • Time 包的时间戳。包时间戳的格式可以自行设置,见第 6.10 节 “时间显示格式及参考时间”
  • Source 显示包的源地址。
  • Destination 显示包的目标地址。
  • Protocal 显示包的协议类型的简写
  • Info 包内容的附加信息

Packet Details面板

在这里插入图片描述
该面板显示包列表面板选中包的协议及协议字段,协议及字段以树状方式组织。可以展开或折叠进行查看。

Packet Bytes面板

在这里插入图片描述
通常在16进制转储形式中,左侧显示包数据偏移量,中间栏以16进制表示,右侧显示为对应的ASCII字符。

状态栏

在这里插入图片描述
通常状态栏的左侧会显示相关上下文信息,右侧会显示当前包数目。

Wireshark过滤器设置

初学者使用wireshark时,将会得到大量的冗余数据包列表,以至于很难找到自己自己抓取的数据包部分。wireshar工具中自带了两种类型的过滤器,学会使用这两种过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。

捕获过滤器

捕获过滤器的菜单栏路径为Capture --> Capture Filters。用于在抓取数据包前设置。

在这里插入图片描述
如何使用?可以在抓取数据包前设置如下。

在这里插入图片描述
ip host 60.207.246.216 and icmp表示只捕获主机IP为60.207.246.216的ICMP数据包。获取结果如下:

在这里插入图片描述

显示过滤器

显示过滤器是用于在抓取数据包后设置过滤条件进行过滤数据包。通常是在抓取数据包时设置条件相对宽泛,抓取的数据包内容较多时使用显示过滤器设置条件顾虑以方便分析。同样上述场景,在捕获时未设置捕获规则直接通过网卡进行抓取所有数据包,如下
在这里插入图片描述
执行ping www.huawei.com获取的数据包列表如下

在这里插入图片描述
观察上述获取的数据包列表,含有大量的无效数据。这时可以通过设置显示器过滤条件进行提取分析信息。ip.addr == 211.162.2.183 and icmp。并进行过滤。
在这里插入图片描述
上述介绍了抓包过滤器和显示过滤器的基本使用方法。在组网不复杂或者流量不大情况下,使用显示器过滤器进行抓包后处理就可以满足我们使用。下面介绍一下两者间的语法以及它们的区别。

wireshark过滤器表达式的规则

1、抓包过滤器语法和实例

抓包过滤器类型Type(host、net、port)、方向Dir(src、dst)、协议Proto(ether、ip、tcp、udp、http、icmp、ftp等)、逻辑运算符(&& 与、|| 或、!非)

(1)协议过滤

比较简单,直接在抓包过滤框中直接输入协议名即可。

TCP,只显示TCP协议的数据包列表

HTTP,只查看HTTP协议的数据包列表

ICMP,只显示ICMP协议的数据包列表

(2)IP过滤

host 192.168.1.104

src host 192.168.1.104

dst host 192.168.1.104

(3)端口过滤

port 80

src port 80

dst port 80

(4)逻辑运算符&& 与、|| 或、!非

src host 192.168.1.104 && dst port 80 抓取主机地址为192.168.1.80、目的端口为80的数据包

host 192.168.1.104 || host 192.168.1.102 抓取主机为192.168.1.104或者192.168.1.102的数据包

!broadcast 不抓取广播数据包

2、显示过滤器语法和实例

(1)比较操作符

比较操作符有== 等于、!= 不等于、> 大于、< 小于、>= 大于等于、<=小于等于。

(2)协议过滤

比较简单,直接在Filter框中直接输入协议名即可。注意:协议名称需要输入小写。

tcp,只显示TCP协议的数据包列表

http,只查看HTTP协议的数据包列表

icmp,只显示ICMP协议的数据包列表
在这里插入图片描述

(3) ip过滤

ip.src ==192.168.1.104 显示源地址为192.168.1.104的数据包列表

ip.dst==192.168.1.104, 显示目标地址为192.168.1.104的数据包列表

ip.addr == 192.168.1.104 显示源IP地址或目标IP地址为192.168.1.104的数据包列
在这里插入图片描述
(4)端口过滤

tcp.port ==80, 显示源主机或者目的主机端口为80的数据包列表。

tcp.srcport == 80, 只显示TCP协议的源主机端口为80的数据包列表。

tcp.dstport == 80,只显示TCP协议的目的主机端口为80的数据包列表。
在这里插入图片描述
5) Http模式过滤

http.request.method==“GET”, 只显示HTTP GET方法的。

(6)逻辑运算符为 and/or/not

过滤多个条件组合时,使用and/or。比如获取IP地址为192.168.1.104的ICMP数据包表达式为ip.addr == 192.168.1.104 and icmp
在这里插入图片描述
(7)按照数据包内容过滤。假设我要以IMCP层中的内容进行过滤,可以单击选中界面中的码流,在下方进行选中数据。如下

在这里插入图片描述
右键单击选中后出现如下界面

在这里插入图片描述
选中Select后在过滤器中显示如下

在这里插入图片描述
后面条件表达式就需要自己填写。如下我想过滤出data数据包中包含"abcd"内容的数据流。包含的关键词是contains 后面跟上内容。

在这里插入图片描述

Wireshark分析三次握手

wireshark能获取HTTP,也能获取HTTPS,但是不能解密HTTPS,所以wireshark看不懂HTTPS中的内容,总结,如果是处理HTTP,HTTPS 还是用Fiddler, 其他协议比如TCP,UDP 就用wireshark.

封包详细信息与对应的OSI模型

在这里插入图片描述
在这里插入图片描述

TCP三次握手过程图

在这里插入图片描述

第一次握手:

​ 建立连接时,客户端发送SYN包(Seq=x)到服务器,并进入SYN_SENT状态,等待服务器确认。

第二次握手:

​ 服务器收到SYN包,必须确认客户的SYN(ACK=x+1),同时自己也发送一个SYN包(Seq=Y),即SYN+ACK包,此时服务器进入SYN_RECV状态。

第三次握手:

​ 客户端收到服务器的SYN+ACK包,向服务器发送确认包ACK(ACK=y+1),此包发送完毕,客户端和服务器进入ESTABLISHED(TCP连接成功)状态,完成三次握手。

TCP包的具体内容

从下图可以看到wireshark捕获到的TCP包中的每个字段。

在这里插入图片描述
在这里插入图片描述
TCP标志的意义

  • SYN:Synchronize,用于初始化和建立连接,它同时也用于同步设备之间的序列号(Seq)

  • ACK:Acknolowege,向另一方确认它已收到SYN

  • Seq:Sequence number,序列号,用于表示曾经发送过数据的字节数+1

  • Len:用于表示收到的字节大小,0表示本次没有收到数据

  • FIN:用于结束连接

注意:

  1. 即使Seq不为0,并不表示曾经一定发送过数据,是否发送过数据需要依据Len指令的值有没有大于0的来判断。

  2. 3次握手和4次挥手过程中一般是不会传送数据的,所以这个过程中Len指令都是0

三次握手分析:

1.打开wireshark, 输入捕获过滤器为:tcp,显示过滤器为:tcp.port == 80,选择我连接网络的网卡为:WLAN

2.点击右上角开始捕获分组,进入捕获界面

3.打开浏览器输入 http://www.aigony.com ,接下来即可看到捕获信息

图中可以看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的, 这说明HTTP的确是使用TCP建立连接的。

在这里插入图片描述
第一次握手数据包

客户端向服务器发送连接请求包,标志位SYN(同步序号)置为1,序号Seq为X=0,如下图
在这里插入图片描述
第二次握手的数据包

服务器收到客户端发过来的报文,由SYN=1知道客户端要求建立连接。服务器发回确认包, 标志位SYN和ACK都置为1。 将确认序号(Acknowledgement Number)设置为客户端的Seq+1,即X+1= 0+1=1, 如下图
在这里插入图片描述
第三次握手的数据包

客户端收到服务器发来的包后检查确认序号(Acknowledgement Number)是否正确,即第一次发送的序号加1(X+1=1)。以及标志位ACK是否为1。若正确,客户端再次发送确认包(ACK),SYN标志位为0,ACK标志位为1。 确认序号(Acknowledgement Number)为Y+= 0+1= 1,发送序号Seq为X+1=1。服务器收到后确认序号值与ACK=1则连接建立成功,可以传送数据了。 如下
在这里插入图片描述
就这样通过TCP三次握手,建立了HTTP连接 。


http://chatgpt.dhexx.cn/article/6Igef4wG.shtml

相关文章

Wireshark零基础使用教程(超详细)

「作者主页」&#xff1a;士别三日wyx 「作者简介」&#xff1a;CSDN top100、阿里云博客专家、华为云享专家、网络安全领域优质创作者 「专栏简介」&#xff1a;此文章已录入专栏《网络安全快速入门》 Wireshark零基础使用教程 一、Wireshark是什么二、Wireshark抓包原理三、W…

@NotNull

这里平时写实体类后Controller层接收了都是用if(XXX!null){}来判断是否为空这样显然代码冗余性 这里如果在实体类的这个属性上面NotNull既可以完成这个判断 记录一下 我们来定义这个Person,这里username不能为null就这么注释 这里 浏览器输入 控制台打印

Non-local的一些理解

其实non-local就是先计算该点&#xff08;点为向量&#xff0c;维度是通道数&#xff09;与其他点&#xff08;也是向量&#xff0c;维度是通道数&#xff09;的相似度&#xff0c;对这个相似度进行归一化&#xff0c;得到各个点的权重&#xff0c;这个权重再对应乘以对应点的特…

NOT IN 和 IS NULL

1、题目&#xff1a; 获取所有非manager的员工的 emp_no 2、答案 2.1、方法1&#xff1a;NOT IN 子查询 select emp_no from employees where emp_no not in (select emp_no from dept_manager); 2.2、方法2&#xff1a;LEFT JOIN 左连接 IS NULL SELECT e.emp_no FROM em…

Non-local 理解

Non-local和谷歌的all is attention 如出一辙。 也可能是反着&#xff0c;all is attention和non-local如出一辙。 看的重点是THWxTHW这个矩阵&#xff0c;直接暴力所有可能性。 因此公式1公式3公式6就是Figure2。换句话说Figure2表示f()函数采取Embedded Gaussian且添加了res…

Nomad 简介

摘要&#xff1a; Nomad 简介 Nomad是一个管理机器集群并在集群上运行应用程序的工具。 Nomad的特点&#xff1a; 支持docker,Nomad的job可以使用docker驱动将应用部署到集群中。 Nomad安装在linux中仅需单一的二进制文件&#xff0c;不需要其他服务协调&#xff0c;Nomad将资源…

[:,None]和[None,:]

记录一下新知识点.首先corr_ij是一个一维数组 corr_ij打印了一下他是个一列的数组 # 一列43行 pd.DataFrame(corr_ij)这里转置并不影响,都是一列,主要看[:,None],效果.发现并没有区别 # None增加维度 corr_ij.T[:,None] pd.DataFrame(corr_ij.T[:,None])接下来看[None,:]产生…

出现“no_init_all“的解决办法

当你的编译器出现这种错误时&#xff0c;只需要在winnt.h头文件中 即可消除错误提示 补充一点 这一代码块是微软工程师用于在旧版本的VS中消除该错误提示的预编译头 虽然微软的工程师们宣称他们在最新的VS2019中已经修复了该错误&#xff0c;但是仍有很多人受到了该错误的困扰…

802.11--WPS(Wi-Fi Protected Setup)协议简析

一、概述 WPS全称为Wi-Fi Protected Setup&#xff0c;是WSC规范早期的名字&#xff0c;WSC全称为Wi-Fi Simple Configuration&#xff0c;该项技术用于简化SOHO环境中无线网络的配置和使用。举一个简单的例子&#xff0c;配置无线网络环境时&#xff0c;网管需要首先为AP设置…

winp

winpcap 百科名片 winpcap(windows packet capture)是windows平台下一个免费&#xff0c;公共的网络访问系统。开发winpcap这个项目的目的在于为win32应用程序提供访问网络底层的能力。 [ 编辑本段] 【winpcap 驱动各项功能】   1> 捕获原始数据包&#xff0c;包括在共享…

360路由器WISP无线万能中继的应用

已有一个千兆路由器接入千兆宽带&#xff0c;由于不方便拉网线&#xff0c;需要通过无线的方式接入一台360无线路由器5G&#xff0c;再连线到台式机百兆网卡实现台式机百兆上网速度。 【前提条件】 1、全千兆路由器能提供至少802.11ac&#xff08;俗称5G WiFi &#xff09;&am…

ROS重大功能,无线WISP和桥接

过节不能上网哪行&#xff1f;由于要到新家过春节&#xff0c;上网成了一个问题。 虽说邻居都是同事可以用他们的网络&#xff0c;用一台普通无线路由转发无线信号也不是不行&#xff0c;但是缺少了Route ROS &#xff0c;网络是发挥不了最大功能嘀&#xff0c;来这里的是都懂吧…

安装wpa_supplicant工具

步骤&#xff1a; 1. 编译libnl2. 编译openssl3. 编译wpa_supplicant本文版本说明&#xff1a; PackageVersionlibnllibnl-3.5.0opensslopenssl-1.1.11wpa_supplicantwpa_supplicant-2.9 本次配置的环境是 ubuntu 16.04LTS(64位&#xff09; 内核版本 4.4.0一、下载libnl程序…

WiFi WPS的来龙去脉

WiFi WPS的来龙去脉 1 什么是WPS2 系统构成3 协议流程3.1 PIN方式3.2 PBC方式3.3 帧类型3.4 M1~M8功能说明 4 数据格式5 总结 1 什么是WPS WPS&#xff08;WiFi Protected Setup&#xff09;&#xff0c;又称为WSC&#xff08;WiFi Simple Configuration&#xff09;。诞生于2…

AJDK-Wisp协程

李三红在接受采访时表示&#xff1a;“如果没有我们的尝试&#xff0c;Johannes Kepler University(JKU) Linz在HotSpot TM JVM 上的协程实现&#xff0c;或许要在相当长的一段时间被束之高阁。Alibaba JVM的Wisp协程技术&#xff0c;基于JKU 的协程实现&#xff0c;在上面做了…

无线路由器的AP、Client、WDS、WISP使用功能图解(清晰明了)

原文链接&#xff1a;http://www.anywlan.com/article-4180-1.html 先从有线路由器说起。现在的家用有线路由器&#xff0c;一般都有一个 WAN 口和几个 LAN 口&#xff0c;可以等效看成是三个部分组成&#xff1a;一个有一个 WAN 口和一个 LAN 口的路由器&#xff0c;一个有几个…

使用 NVIDIA Kaolin Wisp 重建3D场景

使用 NVIDIA Kaolin Wisp 重建3D场景 近年来&#xff0c;神经领域的研究已经成为计算机图形学和计算机视觉领域越来越热门的话题。 神经域可以通过使用以坐标为输入并在该位置输出相应数据的神经网络来表示形状、外观、运动和其他物理量等 3D 数据。 这些表示已被证明在生成建…

【网络】无线路由器的AP、Client、WDS、WISP使用功能图解(清晰明了)

1、有线路由器 有线路由器组成&#xff1a;一个有一个 WAN 口和一个 LAN 口的路由器、一个有几个 LAN 口的网络交换机&#xff0c;一个接在 LAN 口的 DHCP 服务器。如下图所示 2、无线路由器&#xff1a;AP模式 在路由器的 LAN 口上&#xff0c;接了一个无线交换机。这个无…

WISP模式

WISP模式是什么意思&#xff1f;用户在设置无线路由器桥接的时候&#xff0c;发现有一个WISP模式&#xff1b;但是不少用户都不知道WISP模式是什么意思&#xff0c;本文将对WISP模式进行一些简单的介绍。 WISP是Wireless Internet Service Provider的简称&#xff0c;中文名称是…