Wireshark基本使用

本文会对Wireshark做简单介绍，带大家熟悉一下Wireshark的界面，以及如何使用过滤器。

接着会带大家查看TCP五层模型下，带大家回顾各层首部的格式。

最后会演示 Wireshark 如何抓取三次握手和四次挥手包的过程。

一.Wireshark简介

[二. 界面介绍](#二. 界面介绍)

[三. 过滤器](#三. 过滤器)

[1. 捕获过滤器](#1. 捕获过滤器)

[2. 显示过滤器](#2. 显示过滤器)

[四. 保存流量包](#四. 保存流量包)

[五. 协议数据包详解](#五. 协议数据包详解)

[1. 物理层](#1. 物理层)

[2. 数据链路层](#2. 数据链路层)

[3. 网络层](#3. 网络层)

[4. 传输层](#4. 传输层)

三次握手

四次挥手

一.Wireshark简介

大家可能之前用过 BurpSuite，Wireshark和它相比有哪些区别呢？

Burpsuite 只是抓的应用层数据包，而 Wireshark 七层网络模型都能抓。

不过Wireshark不是入侵检测系统，对于网络上的异常流量，Wireshark不会警示或提示。

且无法对流量包进行更改，只能查看流量包。

下载地址：Wireshark · Download

二. 界面介绍

共分为五大块：菜单栏，工具栏，显示过滤器，捕获过滤器和网卡模块。

显示过滤器是对抓到的包进行过滤；

捕获过滤器是提前设置好想抓的对象。

抓包界面也分三大块：

从上到下分别是数据包列表，数据包的详细信息和详细信息十六进制表示。

在编辑-首选项-外观，也可以按自己习惯修改布局。

三. 过滤器

功能列表不可能一一介绍完，这里介绍最重要的过滤器。

1. 捕获过滤器

前面说过，捕获过滤器是提前设置好捕获的对象

点击捕获-选项：

这里的混杂模式是指不仅抓本机MAC地址的包，所有经过网卡的包都会捕获。

捕获过滤器就在下方的框内输入即可

比如想捕获端口为443的包：输入 port 443

还有很多选项，比如

地址：host、src、dst 协议：ip、tcp、http、ftp等

如查找目的地址为本机且协议是tcp的包：dst 127.0.0.1 && tcp

这里再举些例子：

python 复制代码

src host 192.168.2.11 && dst port 80 #抓取源地址为192.168.2.11，并且目的端口为80
的流量
host 192.168.2.11 || host 192.168.2.22 #抓取192.168.2.11或者192.168.2.22的流量
数据
!broadcast #不抓取广播包
src ether host 98:1a:35:98:09:6f #抓取源mac地址为98:1a:35:98:09:6f的数据包

2. 显示过滤器

显示过滤器是对抓完的包再进行过滤

这里也列出一些例子：

python 复制代码

http、tcp #按照协议搜索
ip.src_host=192.168.2.16 #src_host按照源ip地址进行搜索
ip.src_host=192.168.2.16 or ip.dst_host=192.168.2.1 # dst_host是目标主机ip地址
tcp.flags.ack == 0 and tcp.flags.syn == 1 # 这是过滤出，tcp请求中ack标记为0，syn标记为1的包
ip.addr=192.168.2.33 # 是要ip地址为192.168.2.33的全部展示出来，不管是目标地址还是源地址。
tcp.srcport == 443 # 源端口为443的数据包
not arp # 不获取arp数据
tcp.port == 443 # 过滤端口443的数据包

这里还有一种过滤器选择方法：