wireshark 报文分析心得 -- Identification 使用说明

淡淡的烟草味﹌ 2022-04-10 09:13 456阅读 0赞

# wireshark 报文分析心得 – Identification 使用说明 #

## 前言 ##

wireshark 是一个很常见的网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。

在实际工作中，经常需要使用它进行报文的分析工作，wireshark即可以在windows环境下进行抓包，更多的是将在Linux环境下通过tcpdump等抓包工具抓取到的数据报文进行分析，毕竟在windows环境下运行的wireshark在报文的可读性上还是有非常大的优势的。

具体在Linux环境下使用tcpdump命令的用法大家可以看我之前写的tcpdump命令说明，这里就不再赘述，这里主要介绍一下wireshark报文分析的心得。

## 报文标记–ip.id ##

在网络链路中，一个数据包的发送经常会经过多个节点，那么在不同节点抓到报文后，如何确定目前查看的这个报文是否是从源端发过来，问题复现的那段报文；  
或者数据流量比较大，同时刻的报文数量很多，已经无法根据时间来确认具体的报文是哪一条时，又需要确定具体的报文情况时，就需要用到这个字段：Identification。  
在wireshark中，该字段被书定义为`ip.id`。  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xMODQ1ODc2NDI1_size_16_color_FFFFFF_t_70][]

该字段可以理解成报文的唯一标识符，用来标记报文的唯一性，尤其是在该报文经过了各种NAT转发后，该值是不会发生改变的。  
在报文分析中我们往往是通过这个值进行确认报文的唯一性的。当然这个值并不是永不重复，在报文量特别大的情况下，该id是可能发生重复的，不过几率较小，配合报文的时间戳进行双向确认，基本可以明确报文的唯一性。

来看看wireshark官网是如何描述该字段的。

[https://ccie-or-null.net/2014/12/02/wireshark-tid-bit-what-does-the-ip-identification-field-tell-us/][https_ccie-or-null.net_2014_12_02_wireshark-tid-bit-what-does-the-ip-identification-field-tell-us]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xMODQ1ODc2NDI1_size_16_color_FFFFFF_t_70 1][]

## 操作使用 ##

一般为了分析方便，需要把该字段应用成列，默认的wireshark是没有该列的，我们需要把该字段值应用成列。具体操作步骤如下：

找到对应的字段值，选中  
![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xMODQ1ODc2NDI1_size_16_color_FFFFFF_t_70 2][]

右键选择应用为列：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xMODQ1ODc2NDI1_size_16_color_FFFFFF_t_70 3][]

可以看到该列已经出现了上方：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xMODQ1ODc2NDI1_size_16_color_FFFFFF_t_70 4][]

使用该字段值进行过滤筛选：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xMODQ1ODc2NDI1_size_16_color_FFFFFF_t_70 5][]

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xMODQ1ODc2NDI1_size_16_color_FFFFFF_t_70 6][]

希望上述描写会对报文分析有所帮助，后面我会整理一下，使用wireshark时分析报文时延的一些使用心得。

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xMODQ1ODc2NDI1_size_16_color_FFFFFF_t_70]: /images/20220401/c1f5f517d13d4f79975d73dd5ca7cd8c.png
[https_ccie-or-null.net_2014_12_02_wireshark-tid-bit-what-does-the-ip-identification-field-tell-us]: https://ccie-or-null.net/2014/12/02/wireshark-tid-bit-what-does-the-ip-identification-field-tell-us/
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xMODQ1ODc2NDI1_size_16_color_FFFFFF_t_70 1]: /images/20220401/53bd95177f134682aac6f61d28262379.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xMODQ1ODc2NDI1_size_16_color_FFFFFF_t_70 2]: /images/20220401/489901f104ac4c9380d440680246fa6a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xMODQ1ODc2NDI1_size_16_color_FFFFFF_t_70 3]: /images/20220401/7f461e41315f47348d9f3da3a0b64de6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xMODQ1ODc2NDI1_size_16_color_FFFFFF_t_70 4]: /images/20220401/736b016898b94aa1a590f153d14e8144.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xMODQ1ODc2NDI1_size_16_color_FFFFFF_t_70 5]: /images/20220401/79d891f113dd46d3ae13cdb8207348bc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L0xMODQ1ODc2NDI1_size_16_color_FFFFFF_t_70 6]: /images/20220401/ce948e3727ba47f196a82703b1a566ec.png