【网络工程】网络流量分析工具 Wireshark

第一章：WireShark介绍

---

Wireshark (前身 Ethereal)：它是一个强大的网络封包分析软件工具 !
此工具使用WinPCAP作为接口，直接与网卡进行数据报文交换。主要用来捕获截取网络数据包的，并自动解析数据包为用户显示数据包详细信息，供用户对数据包进行分析。

下载及安装: 点击这里

1.打开网址，进入Wireshark 官网，如下图所示

2.点击图标下载页面进行下载，这里下载windows 64位的安装包。单击Windows installer（64-bit）链接，进行下载。下载后的文件名为Wireshark-win64-4.0.7.exe

3.直接点击Next，自定义安装目录



可以设置中文

kail linux 系统默认自带Wireshark工具，而Windows系统中默认没有安装该工具。因此，本节讲解如何在windows系统中安装wireshark 工具。

第二章：WireShark应用

---

1.使用场景
网络管理员：使用Wireshark 来检测处理网络问题
网络安全工程师：使用Wireshark 来检测资讯安全相关问题
开发人员：使用Wireshark来为新的通讯协议排错
普通使用者：使用Wireshark来学习网络协议网络协议的相关知识
当然了，也会有”居心叵测“的人用它寻找一些敏感信息…

2.常见协议包抓取：
1. ARP协议
2. ICMP协议
3. TCP协议
4. UDP协议
5. DNS协议
6. HTTP协议

第三章：Wireshark 实战

---

1.打开Wireshark 抓包工具，进入开始页面

注意：Wireshark 是捕获机器上的某一块网卡的网络包（网络包都是通过主机的网卡发出到对应的服务器上的，你可以理解为应用层发出的请求网络包由本机网卡发向指定主机上），所以当机器上有多块网卡的时候，你需要选择一个网卡（可以上网的那一个网卡）。

2.开始抓包，双击当前网卡 或者点击蓝色图标

3.在所有接口上开启混杂模式
混杂模式与普通模式

• 混杂模式：混杂模式就是接收所有经过网卡的数据包，包括不是发给本机的包，既不验证MAC地址。
• 普通模式：普通模式下网卡只接收发给本机的包（包括广播包）传递给上层程序，其它的包一律丢弃。

一般来说，混杂模式不会影响网卡的正常工作，多在网络监听工具上使用。

4.Wirshark窗口介绍

5.过滤说明：
抓包过滤器Type (host、net、port）、方向Dir （src、dst）、协议Proto （ether、ip、tcp、udp、http、icmp、ftp）、逻辑运算符关系（&&与、|| 或、 ！非）

5.1 协议过滤
TCP: 只显示TCP协议的数据包列表
ICMP：只显示ICMP协议的数据包列表
HTTP：只查看HTTP协议的数据包列表

5.2 IP过滤
比如：ip.src 192.168.1.104 #显示源地址为192.168.1.102网络请求封包。
比如：ip.src 192.168.1.104 #目的地址为192.168.1.102网络请求封包。
又比如：ip.src 192.168.1.104 or ip.det 192.168.1.104 #源地址或者目的地址是192.168.1.104

5.3 端口过滤
比如 tcp.port ==80 #显示端口为80的网络请求封包。
比如 tcp.srcport ==80 #只显示TCP协议的端口为80的网络请求封包。

5.4 HTTP模式过滤
比如 http.request.method==“GET”: 只显示HTTP GET 请求方法的网络请求封包。