【转】Wireshark网络抓包(四)——工具

拼搏现实的明天。 2023-01-17 07:43 166阅读 0赞

转自：[https://www.cnblogs.com/strick/p/6344486.html][https_www.cnblogs.com_strick_p_6344486.html]

# 一、基本信息统计工具 #

**1）捕获文件属性（Summary）**

1. **File**：了解抓包文件的各种属性，例如抓包文件的名称、路径、文件所含数据包的规模等信息

2. **Time**：获悉抓包的开始、结束和持续时间

3. **Capture**：抓包文件由哪块网卡生成、OS版本、Wireshark版本等信息

4. **Display**：剩下的是汇总统计信息，数据包的总数、数量以及占比情况、网速等

![561b6864396b8a00b6d5139020d6c6d9.png][]

**2）协议分级（Protocol Hierarchy）**

1. **Protocol**：数据包所归属的协议名称

2. **% Packets**：抓包文件中所含数据包**个数**在每一种协议类型中的占比情况

3. **Packets**：每一种协议类型数据包的个数

4. **% Bytes**：抓包文件中所含数据包**字节数**在每一种协议类型中的占比情况

5. **Bytes**：每一种协议类型数据包的字节数

6. **MBit/s**：某种协议类型的数据包在抓包时段内的传输速率

7. **End Packets**：隶属于该协议类型的数据包的**纯粹**数量，例如TCP，纯粹指的是TCP头部之后没有高层协议头部（HTTP头等）

8. **End Bytes**：隶属于该协议类型的数据包的**纯粹**字节数

9. **End Bits/s**：隶属于该协议类型的数据包在抓包时段内的**纯粹**传输速率

![0783fdc98c175bdedf10126b909709cf.png][]

**3）对话（Conversation）**

一次对话是指发生于一对特定端点（主机、服务器或网络设备）之间的所有流量。

TCP或UDP对话包括了4个特征（源、目IP地址和源、目端口号）全都匹配的数据包。

1. **Ethernet标签**：不同MAC地址的主机之间的交流

2. **IPv4标签**：不同IPv4地址的主机之间的沟通

3. **TCP或UDP**：不同IPv4地址的主机之间建立的各种TCP或UDP，可以发现某台主机是否打开过多连接，是否与稀奇古怪的端口号建立了连接。

![d28755be16ab26a2e77f4b7ce29067d2.png][]

**4）端点（Endpoints）**

此工具用来观察第二、三、四层端点（Ethernet端点、IP端点、TCP/UDP端点）有关的统计信息。

粗看与对话窗口类似，但对话窗口中会有Address A与Address B两个，而端点中只有一个。

![6c999d8e66eb693c46ba464609eccf7e.png][]

**5）HTTP统计信息**

1. **分组计数器（Packet Counter）**：展示HTTP数据包的总数，请求数据包和响应数据包的数量。

![538b9ab788958c4563952b177474583b.png][]

2. **请求（Requests）**：主机请求访问Web站点的分布情况，以及所访问的Web站点的具体资源。

![f9bebfc2f9c97f8ab19877b3d2304f7a.png][]

3. **负载分配（Load Distribution）**：HTTP数据包（请求和响应）访问过哪些站点。

![b336893952386b33b7b811f1cf479f8e.png][]

**6）IP属性统计信息**

1. **All Addresses**：所有的地址

![d888595d6caf3bc8657f14cff66c5ad3.png][]

2. **Destinations and Ports**：目的地址和端口号

![4fa051a7c98343fa68fbfbd248752f7c.png][]

3. **IP Protocol Types**：IP协议类型

![d5707fb04c3caaf84e080bbc25bee4ae.png][]

4. **Source and Destination Addresses**：源和目的地址

![b26365c5fb38affba1924d71d34a6bf5.png][]

# 二、高级信息统计工具——IO图表（IO Graphs） #

**1）IO图表（IO Graphs）**

1. **样式**：Line（线）、Impulse（脉冲）、Fbar（粗线）、Dot（点）

2. **X轴配置**：

间隔（Tick Interval）取值范围0.001秒~10分钟

一天时钟（View as time of day）勾选后会按一天当中的具体时刻来显示

3. **Y轴配置**：

速率单位（Unit）：Pickets、Bytes、Bits、Advanced（包括SUM、MAX等）

平滑速率（Smooth）：每个计时单位内的平均传输速率

![613686789da581705b1a1372d11a6e89.png][]

**2）IO图表高级配置（Y轴Unit参数Advanced选项）**

单位时间：通过选择X轴参数配置区域内的Tick Interval下拉菜单项来指定

1. SUM(\*)：每个单位时间内实际传输的**IP数据包总字节数**

2. COUNT FRAMES(\*)：每个单位时间内发生**匹配该条件的数量**，例如重传数（tcp.analysis.retransmission）

3. COUNT FIELDS(\*)：每个单位时间内所传数据包中**该字段出现的次数**

4. MAX(\*)：每个单位时间内所传数据包相关参数的**最高值**，例如距离上一个捕获的包的时间间隔（frame.time\_delta）

5. MIN(\*)：每个单位时间内所传数据包相关参数的**最低值**

6. AVG(\*)：每个单位时间内所传数据包相关参数的**平均值**

7. LOAD(\*)：生成与响应时间有关的图形

# 三、高级信息统计工具——TCP流图形（TCP StreamGraph） #

**1）时间序列（Stevens）**

在单位时间内，受监控的TCP流在某个方向所传数据的字节流。

一条连绵不断的斜线就表示正常的文件传输，而斜线时断时续，表示文件传输存在问题；

斜线的角度越大，表示文件的传输速率很高，反之，文件传输缓慢。

![c06cae354264e8d8293c3aa7fab0f0c3.png][]

**2）时间序列（tcptrace）**

监控TCP连接的诸多详细信息。

分析与此TCP有关的种种问题，包括TCP确认、TCP重传、以及TCP窗口大小等信息。

![c67519cbb6978648485f4930547773cd.png][]

上面一条表示TCP接收窗口，当两条曲线之间空间较大的时候，表示接收主机尚有缓存；当近乎重叠的时候，TCP窗口已满（window-full）不能继续传输数据

下面一条表示在单位时间内，受监控的TCP流在某个方向所传数据的字节流（也就是Stevens）

图中每个小竖条（放大后就能看到）表示TCP数据包起始和终止序列号都与纵坐标上的数字相对应。

**3）吞吐量（Throughput）**

不但能了解TCP连接的吞吐量，而且还能判断TCP连接是否稳定。

统计单位时间内在某一指定方向上传输的数据包的字节数（左边的Y轴）；

以此统计出来的吞吐量只是某个方向上传输的应用程序数据（不含IP头与TCP头）的吞吐量，单位为字节/秒（右边的Y轴）。

左边的Y轴就是包中的Len值，对应的是深蓝色的点；右边的Y轴对应的是咖啡色的斜线。

![28ba459706f2b5425a89efe0567a60b3.png][]

**4）往返时间（Round Trip Time）**

了解某条TCP连接中特定方向上的所有TCP报文段的往返时间（RTT）

X轴为序列号字段值，Y轴为时间值。

![03f64789b0077dc981984365b5d2849f.png][]

**5）窗口尺寸（Window Scaling）**

通过统计发送方的接收窗口大小，以此了解特定TCP连接的性能。

当窗口变小时，相关应用程序的吞吐量会相应降低，窗口的大小完全受控于建立连接的两个端点（服务器和客户端），大小的变化与网络性能无关。

![14f14ef589ad6e5a33dde4470ac4b414.png][]

# 四、专家信息（Expert Info）工具 #

窗口由Errors、Warnings、Notes、Chats等构成。

![4feedb60aa0bdd5807df1d2e5532d967.png][]

**1）Errors**

数据包中有严重错误。

校验和错误：Ethernet及IP校验和错误。

伪造的数据包：一般涉及具体的应用层协议。

![45de7b6234fe43b56b441a0c9b28a357.png][]

**2）Warnings**

数据包中有一般性问题。

与TCP窗口有关的事件TCP window full或TCP zero window，一般是连接设备忙不过来所致。

与TCP报文段丢失或失序有关的事件，丢失是因为未抓全某个TCP数据流的所有TCP报文段；失序是因其感知到了TCP报文段未按发出的顺序到达接收主机。

![fc81b551f72ca673702d8b561398aa63.png][]

**3）Notes**

数据包中有可能会引发故障的异常现象，例如TCP重传、重复确认、快速重传等现象。

![84c708a819223432fd2082519aea76f1.png][]

**4）Chats**

数据包都符合常规流量的特征，包括SYN、FIN、RST以及各种状态码的HTTP事件。

![8dfafd21062f919e0831fd6213c08bb2.png][]

[https_www.cnblogs.com_strick_p_6344486.html]: https://www.cnblogs.com/strick/p/6344486.html
[561b6864396b8a00b6d5139020d6c6d9.png]: /images/20221021/923e82000db34211b8e8bdd1b25ca9ac.png
[0783fdc98c175bdedf10126b909709cf.png]: /images/20221021/b087fb63d6324e19a3ef483d16536ec1.png
[d28755be16ab26a2e77f4b7ce29067d2.png]: /images/20221021/39a14ab3df8d4a2cb28eb4db158d43ef.png
[6c999d8e66eb693c46ba464609eccf7e.png]: /images/20221021/085862804e2c43f1a3d9f3fb799b391e.png
[538b9ab788958c4563952b177474583b.png]: /images/20221021/bf3b803747874bda8306af15af4fe833.png
[f9bebfc2f9c97f8ab19877b3d2304f7a.png]: /images/20221021/67da76f14f6044978464c5f526704892.png
[b336893952386b33b7b811f1cf479f8e.png]: /images/20221021/b84ee7952f2949bdb61093b3e88d8f4b.png
[d888595d6caf3bc8657f14cff66c5ad3.png]: /images/20221021/bdab10b95b5e47bf8c6490f341c27638.png
[4fa051a7c98343fa68fbfbd248752f7c.png]: /images/20221021/0248a605be0e4cfeb6341df4a656fc52.png
[d5707fb04c3caaf84e080bbc25bee4ae.png]: /images/20221021/ef501f6628de4c88857a1afa8653233f.png
[b26365c5fb38affba1924d71d34a6bf5.png]: /images/20221021/a331dbd12c7e48ef8ca47724ec0399f8.png
[613686789da581705b1a1372d11a6e89.png]: /images/20221021/8b231fc4d24d4e11b24f7efcb7159e49.png
[c06cae354264e8d8293c3aa7fab0f0c3.png]: /images/20221021/fbfbf3b5badc4a91bc55e82a43a15a47.png
[c67519cbb6978648485f4930547773cd.png]: /images/20221021/a08c311d931d48bba697df235d46ef3f.png
[28ba459706f2b5425a89efe0567a60b3.png]: /images/20221021/6916b5ec21044bc8b4f3fcc2000e4553.png
[03f64789b0077dc981984365b5d2849f.png]: /images/20221021/335abe17d917402090a3ac4df01abd05.png
[14f14ef589ad6e5a33dde4470ac4b414.png]: /images/20221021/e6df4f2e0a544c7cba08e0b80fe10f62.png
[4feedb60aa0bdd5807df1d2e5532d967.png]: /images/20221021/6fb60dafad284ddd8f1c9a9ce3dbb47a.png
[45de7b6234fe43b56b441a0c9b28a357.png]: /images/20221021/837b042a255445ca96800f096fa9b2e4.png
[fc81b551f72ca673702d8b561398aa63.png]: /images/20221021/959720ad3b4f458f9e275bda37207061.png
[84c708a819223432fd2082519aea76f1.png]: /images/20221021/cbaae3b70c834700811438ce80762257.png
[8dfafd21062f919e0831fd6213c08bb2.png]: /images/20221021/e94c251b1d654a03ad7f0d5f6a2c6dd8.png