Wireshark 抓包.docx
- 文档编号:7211509
- 上传时间:2023-01-21
- 格式:DOCX
- 页数:22
- 大小:1.45MB
Wireshark 抓包.docx
《Wireshark 抓包.docx》由会员分享,可在线阅读,更多相关《Wireshark 抓包.docx(22页珍藏版)》请在冰豆网上搜索。
Wireshark抓包
Wireshark
Wireshark(前称Ethereal)是一款功能强大的网络抓包分析工具,在我的工作中是不可或缺的一部分工具,往往在网络出现异常时,查看网络中的数据包,会豁然开朗。
1.菜单栏
主菜单包括以下几个项目:
File ——包括打开、合并捕捉文件,save/保存,Print/打印,Export/导出捕捉文件的全部或部分。
以及退出Wireshark项.
File菜单介绍
菜单项
快捷键
描述
Open…
Ctr+O
显示打开文件对话框,让您載入捕捉文件用以浏览。
OpenRecent
弹出一个子菜单显示最近打开过的文件供选择。
Merg
显示合并捕捉文件的对话框。
让您选择一个文件和当前打开的文件合并。
Close
Ctrl+W
关闭当前捕捉文件,如果您未保存,系统将提示您是否保存(如果您预设了禁止提示保存,将不会提示)
Save
Crl+S
保存当前捕捉文件,如果您没有设置默认的保存文件名,Wireshark出现提示您保存文件的对话框。
SaveAs
Shift+Ctrl+S
让您将当前文件保存为另外一个文件面,将会出现一个另存为的对话框
FileSet>ListFiles
允许您显示文件集合的列表。
将会弹出一个对话框显示已打开文件的列表。
FileSet>NextFile
如果当前載入文件是文件集合的一部分,将会跳转到下一个文件。
如果不是,将会跳转到最后一个文件。
这个文件选项将会是灰色。
Fileset>PreviousFiles
如果当前文件是文件集合的一部分,将会调到它所在位置的前一个文件。
如果不是则跳到文件集合的第一个文件,同时变成灰色。
Export>as“PlainText”File…
这个菜单允许您将捕捉文件中所有的或者部分的包导出为plainASCIItext格式。
它将会弹出一个Wireshark导出对话框。
Export>as“PostScript”Files
将捕捉文件的全部或部分导出为PostScrit文件。
Export>as“CVS”(CommaSeparatedValuesPacketSummary)File…
导出文件全部或部分摘要为.cvs格式(可用在电子表格中)。
。
Export>as“PSML”File…
导出文件的全部或部分为PSML格式(包摘要标记语言)XML文件。
将会弹出导出文件对话框。
Exportas“PDML”File…
导出文件的全部或部分为PDML(包摘要标记语言)格式的XML文件。
Export>SelectedPacketBytes…
导出当前在Packetbyte面版选择的字节为二进制文件。
Ctr+P
打印捕捉包的全部或部分,将会弹出打印对话框。
Quit
Ctrl+Q
退出Wireshark,如果未保存文件,Wireshark会提示是否保存。
Edit——包括如下项目:
查找包,时间参考,标记一个多个包,设置预设参数。
(剪切,拷贝,粘贴不能立即执行。
)
Edit菜单项
菜单项
快捷键
描述
Copy>AsFilter
Shift+Ctrl+C
使用详情面版选择的数据作为显示过滤。
显示过滤将会拷贝到剪贴板。
FindPacket…
Ctr+F
打开一个对话框用来通过限制来查找包
FindNext
Ctrl+N
在使用Findpacket以后,使用该菜单会查找匹配规则的下一个包
FindPrevious
Ctr+B
查找匹配规则的前一个包。
MarkPacket(toggle)
Ctrl+M
标记当前选择的包。
FindNextMark
Shift+Ctrl+N
查找下一个被标记的包
FindPreviousMark
Ctrl+Shift+B
查找前一个被标记的包
MarkALLPackets
标记所有包
UnmarkAllPacket
取消所有标记
SetTimeReference(toggle)
Ctrl+T
以当前包时间作为参考
FindNextReference
找到下一个时间参考包
FindPreviousRefrence…
找到前一个时间参考包
Preferences…
Shift+Ctrl+P
打开首选项对话框,个性化设置Wireshark的各项参数,设置后的参数将会在每次打开时发挥作用。
View ——控制捕捉数据的显示方式,包括颜色,字体缩放,将包显示在分离的窗口,展开或收缩详情面版的地树状节点
“View”菜单项
菜单项
快捷键
描述
MainToolbar
显示隐藏Maintoolbar(主工具栏)
FilterToolbar
显示或隐藏FilterToolbar(过滤工具栏)
Statusbar
显示或隐藏状态栏
PacketList
显示或隐藏PacketListpane(包列表面板)
PacketDetails
显示或隐藏Packetdetailspane(包详情面板)
PacketBytes
显示或隐藏packetBytespane(包字节面板)
TimeDisplayFromat>DateandTimeofDay:
1970-01-0101:
02:
03.123456
选择这里告诉Wireshark将时间戳设置为绝对日期-时间格式(年月日,时分秒)
TimeDisplayFormat>TimeofDay:
01:
02:
03.123456
将时间设置为绝对时间-日期格式(时分秒格式)
TimeDisplayFormat>SecondsSinceBeginningofCapture:
123.123456
将时间戳设置为秒格式,从捕捉开始计时,见
TimeDisplayFormat>SecondsSincePreviousCapturedPacket:
1.123456
将时间戳设置为秒格式,从上次捕捉开始计时
TimeDisplayFormat>SecondsSincePreviousDisplayedPacket:
1.123456
将时间戳设置为秒格式,从上次显示的包开始计时
TimeDisplayFormat>——
TimeDisplayFormat>Automatic(FileFormatPrecision)
根据指定的精度选择数据包中时间戳的显示方式
TimeDisplayFormat>Seconds:
0
设置精度为1秒
TimeDisplayFormat>…seconds:
0….
设置精度为1秒,0.1秒,0.01秒,百万分之一秒等等。
NameResolution>ResolveName
仅对当前选定包进行解析
NameResolution>EnableforMACLayer
是否解析Mac地址
NameResolution>EnableforNetworkLayer
是否解析网络层地址(ip地址)
NameResolution>EnableforTransportLayer
是否解析传输层地址
ColorizePacketList
是否以彩色显示包
AutoScroollinLiveCapture
控制在实时捕捉时是否自动滚屏,如果选择了该项,在有新数据进入时,面板会项上滚动。
您始终能看到最后的数据。
反之,您无法看到满屏以后的数据,除非您手动滚屏
ZoomIn
Ctrl++
增大字体
ZoomOut
Ctrl+-
缩小字体
NormalSize
Ctrl+=
恢复正常大小
ResizAllColumnus
恢复所有列宽
注意
除非数据包非常大,一般会立刻更改
ExpendSubtrees
展开子分支
ExpandAll
看开所有分支,该选项会展开您选择的包的所有分支。
CollapseAll
收缩所有包的所有分支
ColoringRulues…
打开一个对话框,让您可以通过过滤表达来用不同的颜色显示包。
这项功能对定位特定类型的包非常有用
ShowPacketinNewWindow
在新窗口显示当前包,(新窗口仅包含View,ByteView两个面板)
Reload
Ctrl+R
重新再如当前捕捉文件
GO——包含到指定包的功能。
“GO”菜单项
菜单项
快捷键
描述
Back
Alt+Left
跳到最近浏览的包,类似于浏览器中的页面历史纪录
ForWard
Alt+Right
跳到下一个最近浏览的包,跟浏览器类似
GotoPacket
Ctrl+G
打开一个对话框,输入指定的包序号,然后跳转到对应的包。
GotoCorrespondingPacket
跳转到当前包的应答包,如果不存在,该选项为灰色
PreviousPacket
Ctrl+UP
移动到包列表中的前一个包,即使包列表面板不是当前焦点,也是可用的
NextPacket
Ctrl+Down
移动到包列表中的后一个包,同上
FirstPacket
移动到列表中的第一个包
LastPacket
移动到列表中的最后一个包
1Capture——捕捉数据包
2
“Capture”菜单项
菜单项
快捷键
说明
Interface…
在弹出对话框选择您要进行捕捉的网络接口
Options…
Ctrl+K
打开设置捕捉选项的对话框并可以在此开始捕捉
Start
立即开始捕捉,设置都是参照最后一次设置。
Stop
Ctrl+E
停止正在进行的捕捉
Restart
正在进行捕捉时,停止捕捉,并按同样的设置重新开始捕捉.仅在您认为有必要时
CaptureFilters…
打开对话框,编辑捕捉过滤设置,可以命名过滤器,保存为其他捕捉时使用
Analyze ——包含处理显示过滤,允许或禁止分析协议,配置用户指定解码和追踪TCP流等功能。
“analyze”菜单项
菜单项
快捷键
说明
DisplayFilters…
打开过滤器对话框编辑过滤设置,可以命名过滤设置,保存为其他地方使用,见第 6.6 节“定义,保存过滤器”
ApplyasFilter>…
更改当前过滤显示并立即应用。
根据选择的项,当前显示字段会被替换成选择在Detail面板的协议字段
PrepareaFilter>…
更改当前显示过滤设置,当不会立即应用。
同样根据当前选择项,过滤字符会被替换成Detail面板选择的协议字段
FirewallACLRules
为多种不同的防火墙创建命令行ACL规则(访问控制列表),支持CiscoIOS,LinuxNetfilter(iptables),OpenBSDpfandWindowsFirewall(vianetsh).RulesforMACaddresses,IPv4addresses,TCPandUDPports,以及IPv4+混合端口
以上假定规则用于外部接口
EnableProtocols…
Shift+Ctrl+R
是否允许协议分析,见第 9.4.1 节“”EnableProtocols”对话框”
Statistics ——包括的菜单项用户显示多个统计窗口,包括关于捕捉包的摘要,协议层次统计等等。
菜单项
快捷键
描述
Summary
显示捕捉数据摘要
ProtocolHierarchy
显示协议统计分层信息
Conversations/
显示会话列表(两个终端之间的通信)
EndPoints
显示端点列表(通信发起,结束地址)
IOGraphs
显示用户指定图表,(如包数量-时间表)
ConversationList
通过一个组合窗口,显示会话列表
EndpointList
通过一个组合窗口显示终端列表
ServiceResponseTime
显示一个请求及其相应之间的间隔时间
Help——包含一些辅助用户的参考内容。
如访问一些基本的帮助文件,支持的协议列表,用户手册。
在线访问一些网站,“关于”
菜单项
快捷键
描述
Open…
Ctr+O
显示打开文件对话框,让您載入捕捉文件用以浏览。
OpenRecent
弹出一个子菜单显示最近打开过的文件供选择。
wireshark的抓包方法上一相关博文已经详细做了介绍,其实关于wireshark来说,比较重要的还是数对抓包之后的“查询统计分析”,如何在海量的数据包中,抓取出自己关注的数据包是处理问题的第一步,今天这篇博文主要讲解如何进行“简单”的抓包筛选。
为了直观,本篇博文以一次实例进行,我在本地对网卡进行了抓包,登录了一次QQ,与网友聊天,并且,访问了一次我的博客www.zike.me,那我就从海量数据包中,抓取关于这两个操作的相关数据包。
首先,我进行了本地抓包,进行了上述两个操作,stop抓包,仅仅十多秒钟,我抓到了3543个数据包,其中存在有我需要的数据包。
(从这里看出了“筛选分析”有多么重要,如果数据流量较大,我试验过,较小的网络中,1分钟左右的抓包,可以获取300万数据包)
原始数据包
抓包分析
输入:
oicq进行筛选
oicq协议分析
oicq统计结果
查看单包的数据,在data处可以看见QQ号码
详细数据包
选取第一个数据包,点击右键,我们可以看见有很多选项,我们选取“followUDPstream”,即追踪该UDP流,跟踪整个会话
跟踪会话
可以看见,我的得到了该次聊天会话
wireshark抓包分析
同时,我们还可以选择另外一种筛选方式,在详细数据包中,我们选择QQ号码那一栏作为筛选的数据,点击数据包QQ号码处,右键,作为筛选……
wireshark筛选分析
接下来,我们看看由浏览器发起的对www.zike.me的访问,我们主要看进行对dns数据包的筛选
第一步还是选择协议,dns
dns数据包
同时,也可以直接选择所访问的域名:
dns.qry.name==“www.zike.me”,直接进行筛选
wireshark抓包筛选分析
下图可以看见,我本机发起了对www.zike.me的查询,我本地的缓存域名服务器是中国电信的61.128.128.68
dns回应包
然后看见DNS服务器进行回应,回复说www.zike.me的IP地址是173.231.1.221
dns服务器回应数据包
同时,我们可以对本次抓包进行统计概况,如下图
wireshark统计汇总
可以看见总述里面,包数,实时流量大小等等。
wiresharksummary
对本次抓包的协议总述
协议概况
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- Wireshark 抓包