wireshark抓包教程

《wireshark抓包教程》由会员分享，可在线阅读，更多相关《wireshark抓包教程（13页珍藏版）》请在装配图网上搜索。

1、Wireshark图解教程（简介、抓包、过滤器）配置Wireshark是世界上最流行的网络分析工具。这个强大的工具可以捕捉网络中的 数据，并为用户提供关于网络和上层协议的各种信息。 与很多其他网络工具一样，Wireshark也使用pcap network library 来进行圭寸包捕捉。 可破解局域网内QQ 邮箱、msn账号等的密码！Wireshark是世界上最流行的网络分析工具。这个强大的工具可以捕 捉网络中的数据，并为用户提供关于网络和上层协议的各种信息。与很多其他网络工具一样，Wireshark也使用pcap network library 来进行圭寸包捕捉。可破解局域网内QQ邮 箱、

2、msn账号等的密码！wireshark的原名是Ethereal ，新名字是2006年起用的。当时Ethereal的主要幵发者决 定离幵他原来供职的公司，并继续幵发这个软件。但由于Ethereal这个名称的使用权已经被原来那个公司注册，Wireshark这个新名字也就应运而生了。在成功运行Wireshark之后，我们就可以进入下一步，更进一步了解这个强大的工具。F面是一张地址为192.168.1.2的计算机正在访问“ ”网站时的截图1. MENUS菜单）5. PACKETDETAILSPANE（封包详细信息）2. SHORTCUT捷方式）3. DISPLAYFILTER（显示过滤器）6. DIS

3、SECTOFPANE（ 16 进制数据）7. MISCELLANOUSfe项）4. PACKETLIST PANE（封包列表）1. MENUS菜单）（Untitled） - Wires harkFile Edit Vievv Go Capture Analyse Statistics Help程序上方的8个菜单项用于对 Wireshark进行配置:File（文件）打幵或保存捕获的信息。Edit（编辑）查找或标记封包。进行全局设置View（查看）Go（转到）设置Wireshark的视图。Capture（捕获）跳转到捕获的数据。An alyze（分析）设置捕捉过滤器并幵始捕捉。Statistics

4、（统计）设置分析选项。查看Wireshark的统计信息。Help（帮助）查看本地或者在线支持。2. SHORTCUT捷方式）在菜单下面，是一些常用的快捷按钮。您可以将鼠标指针移动到某个图标上以获得其功能说明3. DISPLAYFILTER （显示过滤器）Fitef；addr1.1| Expressnr.Qmt 纫dy显示过滤器用于查找捕捉记录中的内容。请不要将捕捉过滤器和显示过滤器的概念相混淆。请参考Wireshark过滤器中的详细内容。.返回页面顶部4. PACKETLIST PANE（封包列表）I Tfftt fSfluFiQfeInto4,184；704,16. ain ?3-. I“r

5、 IHTTP HTTPAl JO* Nat M0d1fl4d,wrzai 84.16,81. ?31?.168.1.2畀外 k+丁丁心 HT/1.1 50* Nat4.J57367出 dm ST 彩192.iea.l.23 2鹦HTTPMTTPA-1 30* NOT HOCH 鬥&上.404$B4.16.sx. 23192.163.1.2326TCPTCP secrent Preferences5. PACKETDETAILS PANE（封包详细信息）这里显示的是在封包列表中被选中项目的详细信息。信息按照不同的OSIlayer进行了分组，您可以展幵每个项目查看。下面截图中展幵的是 HTTP信息

6、。 jw 112 （7冷m片3Hptb力 rthmct Up srcr 3cn5iM*if? （wfim：?:十 廿厂亠 orts cinzxiflifteigti CKi BiTTeT Frgcgl.歹口1,? PIT i 1 希 BL左I73?Abfd-I BThttp tj-?*- dMT-Merwtr rtoil iMSEC 4,0;科T $.1;r*存瓠4*09 T : W*. QppW4H,l4i !Ejl n 国件尸*匚电 i m. i -flN|p-Al 4 rfirCbMc1! *：M StWift,;M；M B 11C?QJ*4- UB rDM-QPEFMAnZAK. CO

7、MNet527.Cn无忧网客联盟6. DISSECTORPANE（ 16 进制数据）“解析器”在 Wireshark中也被叫做“ 16进制数据查看面板”。这里显示的内容与“封 包详细信息”中相同，只是改为以16进制的格式表述。在上面的例子里，我们在“封包详细信息”中选择查看TCP端 口（ 80），其对应的16进制数据将自动显示在下面的面板中（0050）。7. MISCELLANOUS杂项）hte）雹IfMqfiapo 14!陀 聖創韋 Capktre fileCapfajre syce P _ Q JMXflmpg*承 S廿*l专X ;钟幵m肿拯啊FW-i呻QUlltg用叶:却祕 恥”巾P -

8、 凋P：艸】W： Q在程序的最下端，您可以获得如下信息:-正在进行捕捉的网络设备。-捕捉是否已经幵始或已经停止。-捕捉结果的保存位置。-已捕捉的数据量。-已捕捉封包的数量。（P）-显示的封包数量。（D）（经过显示过滤器过滤后仍然显示的封包）-被标记的圭寸包数量。（M）正如您在Wireshark教程第一部分看到的一样，安装、运行Wireshark并幵始分析网络是 非常简单的。使用Wireshark时最常见的问题，是当您使用默认设置时，会得到大量冗余信息，以至于很难找到自己需要的部分。过犹不及。这就是为什么过滤器会如此重要。它们可以帮助我们在庞杂的结果中迅速找到我们需要的 信息。-捕捉过滤器：用于

9、决定将什么样的信息记录在捕捉结果中。需要在幵始捕捉前设置。-显示过滤器：在捕捉结果中进行详细查找。他们可以在得到捕捉结果后随意修改。 那么我应该使用哪一种过滤器呢？ 两种过滤器的目的是不同的捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。显示过滤器是一种更为强大（复杂）的过滤器。它允许您在日志文件中迅速准确地找到所需要的记录。两种过滤器使用的语法是完全不同的。我们将在接下来的几页中对它们进行介绍：1.捕捉过滤器2.显示过滤器1.捕捉过滤器捕捉过滤器的语法与其它使用 Lipcap （ Linux ）或者Winpcap（ WindowS库幵发的软件一 样，比

10、如著名的TCPdump捕捉过滤器必须在幵始捕捉前设置完毕，这一点跟显示过滤器 是不同的。设置捕捉过滤器的步骤是：-选择 capture - options 。-填写capture filter 栏或者点击capture filter按钮为您的过滤器起一个名字并保存，以便在今后的捕捉中继续使用这个过滤器。-点击幵始（Start ）进行捕捉。Capture Analyze Statistics 忌 Interfaces.0 pdons .Ctrl+Kdl StartSt StopCV庄E飆 Restart# Capture Filters.语法：ProtocolDirectio nHost（s）V

11、alueLogical Operatio ns例子：tcpdst10.1.1.180andOther expressi on_r tep dst 10.2.2.2 3128Protocol （协议） 可能的值：ether, fddi,ip, arp, rarp, dec net, lat,sea, mopre,mopdl, tcp and udp.如果没有特别指明是什么协议，则默认使用所有支持的协议Directio n(方向):可能的值：src, dst, src and dst, src or dst如果没有特别指明来源或目的地，则默认使用src or dst作为关键字例如，host 10.

12、2.2.2与src or dst host 10.2.2.2是一样的。Host(s):可能的值：n et, port, host, portra nge.如果没有指定此值，则默认使用host关键字。例如，src 10.1.1.1与src host 10.1.1.1相同。Logical Operations （逻辑运算） 可能的值：not, and, or.否(not)具有最高的优先级。或(or)和与(and)具有相同的优先级，运算时从左至右 进行。例如，not tcp port 3128 and tcp port 23与(not tcp port 3128) and tcp port 23相同

13、。not tcp port 3128 a nd tcp port 23与not (tcp port 3128 a nd tcp port 23)不同。例子：tcp dst port 3128显示目的TCP端口为3128的封包。ip src host 10.1.1.1显示来源IP地址为10.1.1.1的封包。host 10.1.2.3显示目的或来源IP地址为10.1.2.3 的封包。src portrange 2000-2500显示来源为UDF或TCP并且端口号在 2000至2500范围内的封包。not imcp显示除了 icmp以外的所有封包。（icmp通常被ping工具使用）src host

14、 10.7.2.12 and not dst net 10.200.0.0/16显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16 的封包。（src host 10.4.1.12 or src net 10.6.0.0/16）and tcp dst portrange 200-10000 anddst net 10.0.0.0/8显示来源IP为10.4.1.12 或者来源网络为10.6.0.0/16 ，目的地TCP端口号在200至10000 之间，并且目的位于网络10.0.0.0/8 内的所有封包。注意事项：当使用关键字作为值时，需使用反斜杠“ ”。ether pro

15、to ip（与关键字ip相同）.这样写将会以IP协议作为目标。ip proto icmp（与关键字icmp相同）.这样写将会以ping工具常用的icmp作为目标。可以在ip或ether后面使用multicast 及broadcast关键字 当您想排除广播请求时，no broadcast就会非常有用。查看TCPdum的主页以获得更详细的捕捉过滤器语法说明。在Wiki Wireshark website上可以找到更多捕捉过滤器的例子。2.显示过滤器：通常经过捕捉过滤器过滤后的数据还是很复杂。此时您可以使用显示过滤器进行更加细致的查找。它的功能比捕捉过滤器更为强大，而且在您想修改过滤器条件时，并不需

16、要重新捕捉一次语法：例子：ipStr ing2Logical Operatio nsxorOther expressio n ricmp.typeProtocol （协议）您可以使用大量位于 OSI模型第2至7层的协议。点击Expression 按钮后，您可以 看到它们。比如：IP，TCP DNS SSH您同样可以在如下所示位置找到所支持的协议:Help回 ContentsFlSupported ProtocolsManual PagesWireshark OnlineU About WiresharkWiiethfltk SuMMfted Ptoloecilt回 3 |Pwx由 | DwpU

17、y Rx F4U1 TRe Tol lowing 837 protocol 5(and packet typeij are currentlysupportcd by wirtshart:?d0*rtyfecPro-HPEG Cede E Prscti ct *3 rdMse 2 FEC Protocol；3C0HxNSJCoin XNS Encapsulation则” All祐PP2 All802.11 RSTIEEE 802.11 mreless LAN m&nacmirvt frame#02*11 Addict 4PIEEE S0211 adiotap Capture header&03

18、-3 Slort protocolSlow Protowls护(Hart 0 押MilATM ULIML 3/4ATM AAL3/4Appletalk Address Re501 utiGn ProtocolWPAjppli cation Coinfi fl oration Access ProtocolfcCNArchitecture fcr CCrttrflI NwcfkefccpiaiMZPL33 Attribute Syft1 icovtry Pr&toccl*FP4ple Filing Protocol(RX)Andrew File Syitim (*FS)gtntXAqfitxAu

19、thentication HeaderAOL Irtstsnt MMitnaerMX Admins st rati cmAIM AdHrnnistratiMX Advert i s-emeflt sAIM Advertisementdd Net527.Cn| 谜 | J f无忧网客联盟Wireshark的网站提供了对各种协议以及它们子类的说明Stri ng1,Stri ng2 （可选项）:协议的子类。点击相关父类旁的+号，然后选择其子类。Comparison operators（比较运算符）可以使用6种比较运算符:英文写法：C语言与法：含义：eq=等于ne!=不等于gt大于lt=大于等于le=

20、小于等于t Logical expressi on_rs （逻辑运算符）英文写法：C语言与法：含义：and&逻辑与orII逻辑或xorAA逻辑异或not!逻辑非被程序员们熟知的逻辑异或是一种排除性的或。当其被用在过滤器的两个条件之间时，只有当且仅当其中的一个条件满足时，这样的结果才会被显示在屏幕上。让我们举个例子：tcp.dstport 80 xor tcp.dstport 1025只有当目的TCP端口为80或者来源于端口 1025 （但又不能同时满足这两点）时，这样的 封包才会被显示。例子：snmp | dns | icmp 显示 SNMP或 DNS或 ICMP封包。ip.addr = 10

21、.1.1.1显示来源或目的IP地址为10.1.1.1的封包。ip.src != 10.1.2.3 or ip.dst != 10.4.5.6显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。换句话说，显示的封包将会为：来源IP :除了 10.1.2.3以外任意；目的IP :任意以及来源IP :任意；目的IP :除了 10.4.5.6以外任意ip.src != 10.1.2.3 and ip.dst != 10.4.5.6显示来源不为10.1.2.3并且目的IP不为10.4.5.6的封包。换句话说，显示的封包将会为：来源IP :除了 10.1.2.3以外任意；同时须满足，目的IP :除了 10.4.5.6以外任意tcp.port = 25显示来源或目的TCP端口号为25的封包。tcp.dstport = 25显示目的TCP端口号为25的封包。tcp.flags显示包含TCP标志的圭寸包。tcp.flags.syn = 0x02显示包含TCPSYN标志的圭寸包。如果过滤器的语法是正确的，表达式的背景呈绿色。如果呈红色，说明表达式有误。表达式正确表达式错误（责任编辑：admin）