实训任务2.2 使用Wireshark捕获数据包并分析

[2. 使用Wireshark捕获数据包](#2. 使用Wireshark捕获数据包)

【实训目标】

1.熟悉并掌握Wireshark的基本操作。

2.了解网络协议实体间进行交互以及报文交换的情况。

3.理解网络协议及信息传输的过程。

1.硬件环境：每人一台计算机，能够接入Internet的局域网络。

2.软件件环境：Wireshark软件。

利用Wireshark观察ping命令的工作过程，捕获数据包并分析，加深对网络协议及报文交换情况的了解，理解网络协议及信息传输的过程。

单击"开始"菜单，选择"Wireshark"，启动"Wireshark网络分析器"操作界面，如图2-18所示。

在启动的Wireshark操作界面上直接双击要捕获数据包的网络接口（"无线网连接"或 "本地连接"），或者在主菜单上选择"捕获"→"选项"，弹出图2-19所示的"WireShark 捕获接口"对话框，选择要捕获数据包的网络接口，然后单击"开始"按钮，弹出图2-20 所示的捕获界面。

第一次抓包时，可能会在"分组列表"面板里看到大量的分组数据。这些包在屏幕上飞速滚动，你很可能根本看不出什么名堂。Wireshark 的过滤器能缩小分组列表里显示的分组数量，这样通信流或网络设备的活动轨迹就会立刻清晰起来，帮助我们对需要的数据包进行针对性分析。

例如，为了捕获和分析用ping命令来实现对www.baidu.com的链接过程，我们在过滤器中输入icmp（ping命令是基于ICMP实现的），并按"回车"键确认。

开启Wireshark捕获，然后在计算机上执行"ping www.baidu.com"命令，可以看到，Wireshark只捕获了ICMP协议的数据包。如图2-21所示。

|---|
| |

在"分组列表"面板中双击捕获到的926号数据包，则在"分组详情面板"中显示该数据包的详细信息，如图2-22所示。例如，展开"Internet Control Message Protocol"节点，可以看出926数据包的类型为0，属924数据包的应答报文。

捕获到的数据包协议由头部和数据两部分构成，真实的数据是封装在ICMP报文中的，因此需要展开ICMP协议字段对该报文进行解码，才能看到真实的数据内容。如图2-23所示，在"分组字节流"面板中，如果数据中的一个字节没办法转换为一个可以打印的ASCⅡ字符，就用一个"."（英文句号）。

数据包捕获完成后，工具栏上的"停止捕获分组"按钮，Wireshark停止捕获数据包。执行"文件"→"保存"命令，保存捕获的数据包。