Wireshark是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口直接与网卡进行数据报文交换。这篇文章教大家WireShark抓包及常用协议分析WireShark的应用网络管理员使用Wireshark来检测网络问题网络安全工程师使用Wireshark来检查资讯安全相关问题开发者使用Wireshark来为新的通讯协议除错普通使用者使用Wireshark来学习网络协议的相关知识。当然有的人也会“居心叵测”的用它来寻找一些敏感信息……WireShark 快速分析数据包技巧1 确定Wireshark的物理位置。如果没有一个正确的位置启动Wireshark后会花费很长的时间捕获一些与自己无关的数据。2 选择捕获接口。一般都是选择连接到Internet网络的接口这样才可以捕获到与网络相关的数据。否则捕获到的其它数据对自己也没有任何帮助。3 使用捕获过滤器。通过设置捕获过滤器可以避免产生过大的捕获数据。这样用户在分析数据时也不会受其它数据干扰。而且还可以为用户节约大量的时间。4 使用显示过滤器。通常使用捕获过滤器过滤后的数据往往还是很复杂。为了使过滤的数据包再更细致此时使用显示过滤器进行过滤。5 使用着色规则。通常使用显示过滤器过滤后的数据都是有用的数据包。如果想更加突出的显示某个会话可以使用着色规则高亮显示。6 构建图表。如果用户想要更明显的看出一个网络中数据的变化情况使用图表的形式可以很方便的展现数据分布情况。7 重组数据。当传输较大的图片或文件时需要将信息分布在多个数据包中。这时候就需要使用重组数据的方法来抓取完整的数据。Wireshark的重组功能可以重组一个会话中不同数据包的信息或者是重组一个完整的图片或文件。本节课主要分析以下几种协议类型。ARP协议ICMP协议TCP协议UDP协议DNS协议HTTP协议使用WireShark进行抓包启动WireShark选择我们的网卡双击网卡之后就会自动进行抓包混杂模式介绍1、混杂模式概述混杂模式就是接收所有经过网卡的数据包包括不是发给本机的包即不验证MAC地址。普通模式下网卡只接收发给本机的包包括广播包传递给上层程序其它的包一律丢弃。一般来说混杂模式不会影响网卡的正常工作多在网络监听工具上使用。2、关闭和开启混杂模式方法关闭和开启混杂模式前需要停止当前抓包。如下停止捕获。在程序的工具栏中点击“ 捕获 ”—》“ 选项 ”在选项设置界面中的“ 输出 ”设置栏的左下方勾选“ 在所有接口上使用混杂模式 ”这样就开启了。默认就是开启混杂模式。WireShark的过滤器使用我们开启混淆模式来做一下感受我们再次捕获—在所有接口上使用混杂模式就可以直接进行抓包下面我们打开浏览器访问以下百度。访问完成后点击停止抓包即可我们不需要抓太多的数据包。我们可以看到有很多数据包但是我们怎么才能找到对应的数据包类型呢这里就是我们的过滤器我们可以根据自己的条件筛选自己想要的数据包。例1使用过滤器筛选TCP的数据包注意筛选条件我们都使用小写就好了大写的话会不识别。例2使用过滤器筛选arp的数据包例3使用过滤器筛选udp的数据包我们使用过滤器输入“udp”以筛选出udp报文。但是为什么输入udp之后出现那么多种协议呢原因就是oicq以及dns都是基于udp的传输层之上的协议扩展客户端向DNS服务器查询域名一般返回的内容都不超过512字节用UDP传输即可。不用经过三次握手这样DNS服务器负载更低响应更快。理论上说客户端也可以指定向DNS服务器查询时用TCP但事实上很多DNS服务器进行配置的时候仅支持UDP查询包。例4使用过滤器筛选http的数据包例5使用过滤器筛选dns的数据包其实我们不仅可以对协议类型进行筛选我们还有跟多的筛选条件比如源地址目的地址等等。。。例6筛选源地址是192.168.1.53或目的地址是192.168.1.1在终端ping 192.168.1.1然后修改筛选器条件为ip.src_host 192.168.1.53 or ip.dst_host 192.168.1.1这个判断条件是什么意思呢ip.src_host 192.168.1.53 表示源IP地址ip.dst_host 192.168.1.1 表示目的地址我们中间用or进行了拼接表示或 当然我们也可以使用and表示与or表示满足左右其中一个条件就会显示符合条件的数据包and表示左右2个条件都满足才会显示。orand网络安全学习资源分享:给大家分享一份全套的网络安全学习资料给那些想学习 网络安全的小伙伴们一点帮助对于从来没有接触过网络安全的同学我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线大家跟着这个大的方向学习准没问题。因篇幅有限仅展示部分资料朋友们如果有需要全套《网络安全入门进阶学习资源包》请看下方扫描即可前往获取