wireshark是一款很專業(yè)的網(wǎng)絡(luò)數(shù)據(jù)包分析軟件。網(wǎng)絡(luò)數(shù)據(jù)包分析軟件的功能是截取網(wǎng)絡(luò)數(shù)據(jù)包，并盡可能顯示出最為詳細(xì)的網(wǎng)絡(luò)數(shù)據(jù)包數(shù)據(jù)。Wireshark使用WinPCAP作為接口，直接與網(wǎng)卡進(jìn)行數(shù)據(jù)報(bào)文交換。

網(wǎng)絡(luò)管理員使用Wireshark來(lái)檢測(cè)網(wǎng)絡(luò)問(wèn)題，網(wǎng)絡(luò)安全工程師使用Wireshark來(lái)檢查資訊安全相關(guān)問(wèn)題，開發(fā)者使用Wireshark來(lái)為新的通訊協(xié)定除錯(cuò)，普通使用者使用Wireshark來(lái)學(xué)習(xí)網(wǎng)絡(luò)協(xié)定的相關(guān)知識(shí)。那么對(duì)于初用者來(lái)說(shuō)，怎么入門肯定是問(wèn)題，下面小編就把wireshark使用教程分享給大家，快速學(xué)會(huì)wireshark抓包分析

wireshark使用教程入門：

一、首先安裝wireshark，打開后如下開始界面

常用按鈕介紹：

1、列出可用接口。

2、抓包時(shí)需要設(shè)置的一些選項(xiàng)。一般會(huì)保留最后一次的設(shè)置結(jié)果。

3、開始新的一次抓包。

4、暫停抓包。

5、繼續(xù)進(jìn)行本次抓包。

6、打開抓包文件。可以打開之前抓包保存后的文件。不僅可以打開wireshark軟件保存的文件，也可以打開tcpdump使用-w參數(shù)保存的文件。

7、保存文件。把本次抓包或者分析的結(jié)果進(jìn)行保存。

8、關(guān)閉打開的文件。文件被關(guān)閉后，就會(huì)切換到初始界面。

9、重載抓包文件。

 

二、wireshark是捕獲機(jī)器上的某一塊網(wǎng)卡的網(wǎng)絡(luò)數(shù)據(jù)包，當(dāng)你的機(jī)器上有多塊網(wǎng)卡的時(shí)候，你需要選擇一個(gè)網(wǎng)卡。如果有無(wú)線和有線網(wǎng)卡，那么選擇你在聯(lián)網(wǎng)使用的那塊網(wǎng)卡。

點(diǎn)擊Caputre->Interfaces.. 出現(xiàn)下面對(duì)話框，選擇正確的網(wǎng)卡。然后點(diǎn)擊"Start"按鈕, 開始抓包

Wireshark 窗口介紹，如下圖，顯示過(guò)濾器、封包列表、封包詳細(xì)信息，是我們經(jīng)常要看的。

WireShark 主要分為這幾個(gè)界面

1. Display Filter(顯示過(guò)濾器)，  用于過(guò)濾

2. Packet List Pane(封包列表)， 顯示捕獲到的封包， 有源地址和目標(biāo)地址，端口號(hào)。 顏色不同，代表

3. Packet Details Pane(封包詳細(xì)信息), 顯示封包中的字段

4. Dissector Pane(16進(jìn)制數(shù)據(jù))

5. Miscellanous(地址欄，雜項(xiàng))
 

第 2 頁(yè) Wireshark 顯示過(guò)濾

使用過(guò)濾是非常重要的， 初學(xué)者使用wireshark時(shí)，將會(huì)得到大量的冗余信息，在幾千甚至幾萬(wàn)條記錄中，以至于很難找到自己需要的部分。搞得暈頭轉(zhuǎn)向。

過(guò)濾器會(huì)幫助我們?cè)诖罅康臄?shù)據(jù)中迅速找到我們需要的信息。

過(guò)濾器有兩種，

一種是顯示過(guò)濾器，就是主界面上那個(gè)，用來(lái)在捕獲的記錄中找到所需要的記錄

一種是捕獲過(guò)濾器，用來(lái)過(guò)濾捕獲的封包，以免捕獲太多的記錄。 在Capture -> Capture Filters 中設(shè)置

保存過(guò)濾

在Filter欄上，填好Filter的表達(dá)式后，點(diǎn)擊Save按鈕， 取個(gè)名字。比如"Filter 102",

Filter欄上就多了個(gè)"Filter 102" 的按鈕。

過(guò)濾表達(dá)式的規(guī)則

表達(dá)式規(guī)則

 1. 協(xié)議過(guò)濾

比如TCP，只顯示TCP協(xié)議。

2. IP 過(guò)濾

比如 ip.src ==192.168.1.102 顯示源地址為192.168.1.102，

ip.dst==192.168.1.102, 目標(biāo)地址為192.168.1.102

3. 端口過(guò)濾

tcp.port ==80,  端口為80的

tcp.srcport == 80,  只顯示TCP協(xié)議的愿端口為80的。

4. Http模式過(guò)濾

http.request.method=="GET",   只顯示HTTP GET方法的。

5. 邏輯運(yùn)算符為 AND/ OR

常用的過(guò)濾表達(dá)式

過(guò)濾表達(dá)式	用途
http	只查看HTTP協(xié)議的記錄
ip.src ==192.168.1.102 or ip.dst==192.168.1.102	源地址或者目標(biāo)地址是192.168.1.102

封包列表(Packet List Pane)

封包列表的面板中顯示，編號(hào)，時(shí)間戳，源地址，目標(biāo)地址，協(xié)議，長(zhǎng)度，以及封包信息。 你可以看到不同的協(xié)議用了不同的顏色顯示。

你也可以修改這些顯示顏色的規(guī)則，  View ->Coloring Rules.

封包詳細(xì)信息 (Packet Details Pane)

這個(gè)面板是我們最重要的，用來(lái)查看協(xié)議中的每一個(gè)字段。

各行信息分別為

Frame:   物理層的數(shù)據(jù)幀概況

Ethernet II: 數(shù)據(jù)鏈路層以太網(wǎng)幀頭部信息

Internet Protocol Version 4: 互聯(lián)網(wǎng)層IP包頭部信息

Transmission Control Protocol:  傳輸層T的數(shù)據(jù)段頭部信息，此處是TCP

Hypertext Transfer Protocol:  應(yīng)用層的信息，此處是HTTP協(xié)議

第 3 頁(yè) wireshark與對(duì)應(yīng)的OSI七層模型

TCP包的具體內(nèi)容

 從下圖可以看到wireshark捕獲到的TCP包中的每個(gè)字段。