wireshark怎么抓包、wireshark抓包详细图文教程

淡淡的烟草味﹌ 2022-03-15 14:17 585阅读 0赞

reprint：[https://blog.csdn.net/holandstone/article/details/47026213][https_blog.csdn.net_holandstone_article_details_47026213]

wireshark是非常流行的[网络封包分析][Link 1]软件，功能十分强大。可以截取各种网络封包，显示网络封包的详细信息。使用wireshark的人必须了解网络协议，否则就看不懂wireshark了。  
为了安全考虑，wireshark只能查看封包，而不能修改封包的内容，或者发送封包。

wireshark能获取HTTP，也能获取HTTPS，但是不能解密HTTPS，所以wireshark看不懂HTTPS中的内容，总结，如果是处理HTTP,HTTPS 还是用Fiddler, **其他协议比如TCP,UDP 就用wireshark.**

[![Wireshark(网络嗅探抓包工具)][Wireshark]][Wireshark_Wireshark]

[Wireshark(网络嗅探抓包工具) v1.4.9 中文版(包含中文手册+主界面的操作菜单) ][Wireshark_Wireshark]评分:

2.7

类别： 远程监控 大小：22M 语言： 中文  
[查看详细信息 >>][Wireshark_Wireshark]

**wireshark 开始抓包**

开始界面

![2013050217125676858.png][]

**wireshark是捕获机器上的某一块网卡的网络包**，当你的机器上有多块网卡的时候，你需要选择一个网卡。

点击Caputre->Interfaces.. 出现下面对话框，选择正确的网卡。然后点击"Start"按钮, 开始抓包

![2013050217125648024.png][]

Wireshark 窗口介绍

![2013050217125642416.png][]

**WireShark 主要分为这几个界面**

1. Display Filter([显示过滤器][Link 2])， 用于过滤

2. Packet List Pane(封包列表)， 显示捕获到的封包， 有源地址和目标地址，端口号。 颜色不同，代表

3. Packet Details Pane(封包详细信息), 显示封包中的字段

4. Dissector Pane(16进制数据)

5. Miscellanous(地址栏，杂项)

**第 2 页 Wireshark 显示过滤**

![2013050217125625854.png][]

使用过滤是非常重要的， 初学者使用wireshark时，将会得到大量的冗余信息，在几千甚至几万条记录中，以至于很难找到自己需要的部分。搞得[晕头转向][Link 3]。

过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。

过滤器有两种，

一种是显示过滤器，就是主界面上那个，用来在捕获的记录中找到所需要的记录

一种是捕获过滤器，用来过滤捕获的封包，以免捕获太多的记录。 在Capture -> Capture Filters 中设置

保存过滤

在Filter栏上，填好Filter的表达式后，点击Save按钮， 取个名字。比如"Filter 102",

![2013050217125743998.png][]

Filter栏上就多了个"Filter 102" 的按钮。

![2013050217125766695.png][]

**过滤表达式的规则**

表达式规则

1. 协议过滤

比如TCP，只显示TCP协议。

2. IP 过滤

比如 ip.src ==192.168.1.102 显示源地址为192.168.1.102，

ip.dst==192.168.1.102, 目标地址为192.168.1.102

3. 端口过滤

tcp.port ==80, 端口为80的

tcp.srcport == 80, 只显示TCP协议的愿端口为80的。

4. Http模式过滤

http.request.method=="GET", 只显示HTTP GET方法的。

5. 逻辑运算符为 AND/ OR

常用的过滤表达式

<table> 
 <tbody> 
  <tr> 
   <td>过滤表达式</td> 
   <td>用途</td> 
  </tr> 
  <tr> 
   <td>http</td> 
   <td>只查看HTTP协议的记录</td> 
  </tr> 
  <tr> 
   <td>ip.src ==192.168.1.102 or ip.dst==192.168.1.102</td> 
   <td>&nbsp;源地址或者目标地址是192.168.1.102</td> 
  </tr> 
  <tr> 
   <td>&nbsp;</td> 
   <td>&nbsp;</td> 
  </tr> 
  <tr> 
   <td>&nbsp;</td> 
   <td>&nbsp;</td> 
  </tr> 
 </tbody> 
</table>

封包列表(Packet List Pane)

封包列表的面板中显示，编号，时间戳，源地址，目标地址，协议，长度，以及封包信息。 你可以看到不同的协议用了不同的颜色显示。

你也可以修改这些显示颜色的规则， View ->Coloring Rules.

![2013050217125720773.png][]

封包详细信息 (Packet Details Pane)

这个面板是我们最重要的，用来查看协议中的每一个字段。

各行信息分别为

Frame: 物理层的数据帧概况

Ethernet II: 数据链路层以太网帧头部信息

Internet Protocol Version 4: 互联网层IP包头部信息

Transmission Control Protocol: 传输层T的数据段头部信息，此处是TCP

Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协议

**第 3 页 wireshark与对应的OSI七层模型**

![2013050217125736394.png][]

**TCP包的具体内容**

从下图可以看到wireshark捕获到的TCP包中的每个字段。

![2013050217125787134.png][]

**第 4 页 实例分析TCP三次握手过程**

看到这， 基本上对wireshak有了初步了解， 现在我们看一个TCP三次握手的实例

三次握手过程为

![2013050217125714223.png][]

这图我都看过很多遍了， 这次我们用wireshark实际分析下三次握手的过程。

打开wireshark, 打开浏览器输入 http://www.cr173.com

在wireshark中输入http过滤， 然后选中GET /tankxiao HTTP/1.1的那条记录，右键然后点击"Follow TCP Stream",

这样做的目的是为了得到与浏览器打开网站相关的数据包，将得到如下图

![2013050217125854801.png][]

图中可以看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的， 这说明HTTP的确是使用TCP建立连接的。

**第一次握手数据包**

客户端发送一个TCP，标志位为SYN，序列号为0， 代表客户端请求建立连接。 如下图

![2013050217125843584.png][]

**第二次握手的数据包**

服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的I S N加1以.即0+1=1, 如下图

![2013050217125855065.png][]

**第三次握手的数据包**

客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1, 如下图:

![2013050217125894588.png][]

就这样通过了TCP三次握手，建立了连接

[https_blog.csdn.net_holandstone_article_details_47026213]: https://blog.csdn.net/holandstone/article/details/47026213
[Link 1]: https://www.baidu.com/s?wd=%E7%BD%91%E7%BB%9C%E5%B0%81%E5%8C%85%E5%88%86%E6%9E%90&tn=24004469_oem_dg&rsv_dl=gh_pl_sl_csd
[Wireshark]: http://pic.cr173.com/up/2012-6/2012625144720.jpg
[Wireshark_Wireshark]: /images/20220315/0b250250570b4d7a95d77117d4a2f222.png
[2013050217125676858.png]: /images/20220315/1d8992de03824882a1ff4edcf8f0358a.png
[2013050217125648024.png]: /images/20220315/469f7ab100ab4435b37f8ee5e4e88ba8.png
[2013050217125642416.png]: /images/20220315/ac9beff5248146cdb6e5fbc479e3494b.png
[Link 2]: https://www.baidu.com/s?wd=%E6%98%BE%E7%A4%BA%E8%BF%87%E6%BB%A4%E5%99%A8&tn=24004469_oem_dg&rsv_dl=gh_pl_sl_csd
[2013050217125625854.png]: /images/20220315/a3911b538c6d4ad496e4fd8300bb7f4c.png
[Link 3]: https://www.baidu.com/s?wd=%E6%99%95%E5%A4%B4%E8%BD%AC%E5%90%91&tn=24004469_oem_dg&rsv_dl=gh_pl_sl_csd
[2013050217125743998.png]: /images/20220315/09e815789c564b8d953a70de5d0548a6.png
[2013050217125766695.png]: /images/20220315/3681a186c3c24b55b0e29ee6e0ef2309.png
[2013050217125720773.png]: /images/20220315/d590249e05c242bd96b933ef9101d16c.png
[2013050217125736394.png]: /images/20220315/ca0e3656cad84fcbb6a2fba8be4a2b72.png
[2013050217125787134.png]: /images/20220315/a00a56f316e44cb4ab5513faccfb6e32.png
[2013050217125714223.png]: /images/20220315/3ac0e0069dd64ada9b002a89e346fe3e.png
[2013050217125854801.png]: /images/20220315/7f668a1b261c47af8179c48c230b3516.png
[2013050217125843584.png]: /images/20220315/eb77202b95da4c5aabd7e554b4010126.png
[2013050217125855065.png]: /images/20220315/5dce1a8115804a60bb3f6e8c2e9ee8eb.png
[2013050217125894588.png]: /images/20220315/d333bd4c9a2c4f32aa0b9ce3dd9dbdf8.png