简介

Wireshark是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。WireShark可以比喻做硬件工程的万用表、示波器，同样我们网络工程师或者软件工程师可以利用wireshark来进行分析网络。

wireshark可以做哪些事情？

1、利用wireshark进行tcp/ip知识的学习

在进行学习tcp/ip基础知识尤其是网络协议时异常枯燥，因为网络的问题看不见摸不着，所以很难去深入地进行理解，而wireshark正是将这些知识以一种网络数据包、可视化的形式给大奖呈现出来。

常见的tcp、udp、icmp、mqtt、http、ftp、pop3、tftp、dns、dhcp等，我们利用wireshark学习这些协议可以起到事半功倍的效果,我们将在接下来的一些列的博文中来介绍常见的tcp/ip协议。

2、利用wireshark工具进行网络问题的分析

wireshark问题通常都比较复杂，我们可以利用wireshark进行常见网络问题的分析，但是这一部分同时又涉及到tcp/ip的基础知识，在学习完基础的tcp/ip基础知识后，就可以利用Wireshark进行网络问题进行分析。通常利用wireshark解析以下几种常见问题：

• 网络断开的问题
• 网络数据是否发送以及发送的数据是否正确
• 网络流量统计
• 利用wireshark进行常见应用层问题分析

3、对于未知的协议进行抓包分析

在有些情况我们不知道设备端口号、ip地址，我们同样也可以利用wireshark进行问题的分析，定位问题。

下载及安装

windows下安装

安装方法如下：

1. 打开网址 http://www.wireshark.org，进入 Wireshark 官网，如图所示。
   
2. 单击图中的下载图标进入下载页面，如图所示,选择合适的版本进行下载。
   

1. 下载好之后，双击.exe 文件开始进行安装，然后点击next。
   
2. 当弹出是否需要安装 WinPcap 的对话框时，务必确保 Install WinPcap
   选项已被勾选，如图 3-2 所示，然后单击 Install。安装过程便会随即开始。
   
3. Wireshark 的安装过程进行了大约一半的时候，会开始安装 WinPcap。在介绍页面单击 Next 之后，请阅读许可协议并单击 I Agree。
4. 你将选择是否安装 USBPcap 选项。这是一个从 USB 设备中收集数据的工具。勾选你想要的复选框并单击 Next。
5. WinPcap 和 USBPcap（如果你在上一步勾选了的话）应该已经安装到你的计算机上了，在安装完成之后，单击 Finish。
6. Wireshark 应该已经安装到你的计算机上了，在安装完成之后，单击
   Finish。
7. 在安装确认界面中，单击 Finish。

linux下安装

1. 添加wireshark 下载链接地址，然后更新软件源

   sudo apt-add-repository ppa:wireshark-dev/stable
   sudo apt-get update

2. 在命令行安装wireshark

   sudo apt-get install wireshark

   安装过程选择yes，非root用户也能抓包

   

3. 后续配置，新建wireshark 用户组，把当前用户加入wireshark 用户组

   sudo groupadd wireshark
   sudo chgrp wireshark /usr/bin/dumpcap
   sudo chmod 4755 /usr/bin/dumpcap
   sudo gpasswd -a your_username wireshark

   第一条命令是 新建wireshark 用户组，二、三条命令是配置和添加权限。第四条命令中的your_username 是当前系统的用户名。

4. 安装完成啦，可以使用了

Wireshark 初步入门

1、打开wireshark 2.6.5，主界面如下：

2、选择菜单栏上Capture -> Option，勾选WLAN网卡（这里需要根据各自电脑网卡使用情况选择，简单的办法可以看使用的IP对应的网卡）。点击Start。启动抓包。

3、wireshark启动后，wireshark处于抓包状态中。

4、执行需要抓包的操作，如ping www.baidu.com。

5、操作完成后相关数据包就抓取到了。为避免其他无用的数据包影响分析，可以通过在过滤栏设置过滤条件进行数据包列表过滤，获取结果如下。说明：ip.addr == 119.75.217.26 and icmp 表示只显示ICPM协议且源主机IP或者目的主机IP为119.75.217.26的数据包。

6.到此完成。

主界面介绍

整体来说，界面主要分为以下几部分：

• 菜单栏：Wireshark的标准菜单栏。

• 工具栏：常用功能的快捷图标按钮，提供快速访问菜单中经常用到的项目的功能。

• 过滤器：提供处理当前显示过滤得方法。

• Packet List面板：显示每个数据帧的摘要。这里采用表格的形式列出了当前捕获文件中的所有数据包，其中包括了数据包序号、数据包捕获的相对时间、数据包的源地址和目标地址、数据包的协议以及在数据包中找到的概况信息等。

• Packet Details面板：分析数据包的详细信息。这个面板分层次地显示了一个数据包中的内容，并且可以通过展开或是收缩来显示这个数据包中所捕获的全部内容。

• Packet Bytes面板：以十六进制和ASCII码的形式显示数据包的内容。这里显 示了一个数据包未经处理的原始样子，也就是在链路上传播时的样子。

• 状态栏：包含有专家信息、注释、包的数量和Profile。

菜单栏

File（文件） ——包括打开、合并捕捉文件，save/保存，Print/打印，Export/导出，捕捉文件的全部或部分。以及退出Wireshark 项。

Edit（编辑）——包括如下项目：查找包，时间参考，标记一个多个包，设置预设参数。（剪切，拷贝，粘贴不能立即执行。）

View（视图） ——控制捕捉数据的显示方式，包括颜色，字体缩放，将包显示在分离的窗口，展开或收缩详情面版的地树状节点

GO（跳转） ——包含到指定包的功能。

Capture（捕获）——控制抓包的对话框，包括接口，选项，开始/停止/重新开始和过滤器。

Analyze（分析） ——包含处理显示过滤，允许或禁止分析协议，配置用户指定解码和追踪TCP 流等功能。

Statistics（统计） ——包括的菜单项用户显示多个统计窗口，包括关于捕捉包的摘要，协议层次统计等等。

Help（帮助） ——包含一些辅助用户的参考内容。如访问一些基本的帮助文件，支持的协议列表，用户手册。

工具栏

①——使用最后一次的捕捉设置立即开始捕捉

②——停止当前捕捉

③——停止当前捕捉并立即重新开始

④——打开捕获窗口

过滤器

当进行数据包捕获时，只有那些满足给定的包含/排除表达式的数据包会被捕获。

常见的过滤条件有：

过滤源ip、目的ip——如查找目的地址为192.168.101.8的包，ip.dst192.168.101.8；查找源地址为ip.src1.1.1.1。

端口过滤——如过滤80端口，在Filter中输入，tcp.port80，这条规则是把源端口和目的端口为80的都过滤出来。使用tcp.dstport80只过滤目的端口为80的，tcp.srcport==80只过滤源端口为80的包。

协议过滤——比较简单，直接在Filter框中直接输入协议名即可，如过滤HTTP的协议

http模式过滤——如过滤get包，http.request.method==“GET”,过滤post包，http.request.method==“POST”

连接符and——过滤两种条件时，使用and连接，如过滤ip为192.168.101.8并且为http协议的，ip.src==192.168.101.8 and http。

Packet List面板

列表中的每行显示捕捉文件的一个包。如果您选择其中一行，该包得更多情况会显示在\"Packet Detail/包详情\"，\"Packet Byte/包字节\"面板。

Packet List面板中默认包含了几列，如No、Time、Source和Destination等。

• No. 包的编号，编号不会发生改变，即使进行了过滤也同样如此
• Time 包的时间戳。包时间戳的格式可以自行设置，见第 6.10 节 “时间显示格式及参考时间”
• Source 显示包的源地址。
• Destination 显示包的目标地址。
• Protocal 显示包的协议类型的简写
• Info 包内容的附加信息

Packet Details面板

该面板显示包列表面板选中包的协议及协议字段，协议及字段以树状方式组织。可以展开或折叠进行查看。

Packet Bytes面板

通常在16进制转储形式中，左侧显示包数据偏移量，中间栏以16进制表示，右侧显示为对应的ASCII字符。

状态栏

通常状态栏的左侧会显示相关上下文信息，右侧会显示当前包数目。

Wireshark过滤器设置

初学者使用wireshark时，将会得到大量的冗余数据包列表，以至于很难找到自己自己抓取的数据包部分。wireshar工具中自带了两种类型的过滤器，学会使用这两种过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。

捕获过滤器

捕获过滤器的菜单栏路径为Capture --> Capture Filters。用于在抓取数据包前设置。

如何使用？可以在抓取数据包前设置如下。

ip host 60.207.246.216 and icmp表示只捕获主机IP为60.207.246.216的ICMP数据包。获取结果如下：

显示过滤器

显示过滤器是用于在抓取数据包后设置过滤条件进行过滤数据包。通常是在抓取数据包时设置条件相对宽泛，抓取的数据包内容较多时使用显示过滤器设置条件顾虑以方便分析。同样上述场景，在捕获时未设置捕获规则直接通过网卡进行抓取所有数据包，如下

执行ping www.huawei.com获取的数据包列表如下

观察上述获取的数据包列表，含有大量的无效数据。这时可以通过设置显示器过滤条件进行提取分析信息。ip.addr == 211.162.2.183 and icmp。并进行过滤。

上述介绍了抓包过滤器和显示过滤器的基本使用方法。在组网不复杂或者流量不大情况下，使用显示器过滤器进行抓包后处理就可以满足我们使用。下面介绍一下两者间的语法以及它们的区别。

wireshark过滤器表达式的规则

1、抓包过滤器语法和实例

抓包过滤器类型Type（host、net、port）、方向Dir（src、dst）、协议Proto（ether、ip、tcp、udp、http、icmp、ftp等）、逻辑运算符（&& 与、|| 或、！非）

（1）协议过滤

比较简单，直接在抓包过滤框中直接输入协议名即可。

TCP，只显示TCP协议的数据包列表

HTTP，只查看HTTP协议的数据包列表

ICMP，只显示ICMP协议的数据包列表

（2）IP过滤

host 192.168.1.104

src host 192.168.1.104

dst host 192.168.1.104

（3）端口过滤

port 80

src port 80

dst port 80

（4）逻辑运算符&& 与、|| 或、！非

src host 192.168.1.104 && dst port 80 抓取主机地址为192.168.1.80、目的端口为80的数据包

host 192.168.1.104 || host 192.168.1.102 抓取主机为192.168.1.104或者192.168.1.102的数据包

！broadcast 不抓取广播数据包

2、显示过滤器语法和实例

（1）比较操作符

比较操作符有== 等于、！= 不等于、> 大于、< 小于、>= 大于等于、<=小于等于。

（2）协议过滤

比较简单，直接在Filter框中直接输入协议名即可。注意：协议名称需要输入小写。

tcp，只显示TCP协议的数据包列表

http，只查看HTTP协议的数据包列表

icmp，只显示ICMP协议的数据包列表

（3） ip过滤

ip.src ==192.168.1.104 显示源地址为192.168.1.104的数据包列表

ip.dst==192.168.1.104, 显示目标地址为192.168.1.104的数据包列表

ip.addr == 192.168.1.104 显示源IP地址或目标IP地址为192.168.1.104的数据包列

（4）端口过滤

tcp.port ==80, 显示源主机或者目的主机端口为80的数据包列表。

tcp.srcport == 80, 只显示TCP协议的源主机端口为80的数据包列表。

tcp.dstport == 80，只显示TCP协议的目的主机端口为80的数据包列表。

5） Http模式过滤

http.request.method==“GET”, 只显示HTTP GET方法的。

（6）逻辑运算符为 and/or/not

过滤多个条件组合时，使用and/or。比如获取IP地址为192.168.1.104的ICMP数据包表达式为ip.addr == 192.168.1.104 and icmp

（7）按照数据包内容过滤。假设我要以IMCP层中的内容进行过滤，可以单击选中界面中的码流，在下方进行选中数据。如下

右键单击选中后出现如下界面

选中Select后在过滤器中显示如下

后面条件表达式就需要自己填写。如下我想过滤出data数据包中包含\"abcd\"内容的数据流。包含的关键词是contains 后面跟上内容。

Wireshark分析三次握手

wireshark能获取HTTP，也能获取HTTPS，但是不能解密HTTPS，所以wireshark看不懂HTTPS中的内容，总结，如果是处理HTTP,HTTPS 还是用Fiddler, 其他协议比如TCP,UDP 就用wireshark.

封包详细信息与对应的OSI模型

TCP三次握手过程图

第一次握手：

​ 建立连接时，客户端发送SYN包（Seq=x）到服务器，并进入SYN_SENT状态，等待服务器确认。

第二次握手：

​ 服务器收到SYN包，必须确认客户的SYN（ACK=x+1），同时自己也发送一个SYN包（Seq=Y），即SYN+ACK包，此时服务器进入SYN_RECV状态。

第三次握手：

​ 客户端收到服务器的SYN+ACK包，向服务器发送确认包ACK(ACK=y+1），此包发送完毕，客户端和服务器进入ESTABLISHED（TCP连接成功）状态，完成三次握手。

TCP包的具体内容

从下图可以看到wireshark捕获到的TCP包中的每个字段。

TCP标志的意义

• SYN：Synchronize，用于初始化和建立连接，它同时也用于同步设备之间的序列号（Seq）

• ACK：Acknolowege，向另一方确认它已收到SYN

• Seq：Sequence number，序列号，用于表示曾经发送过数据的字节数+1

• Len：用于表示收到的字节大小，0表示本次没有收到数据

• FIN：用于结束连接

注意：

1. 即使Seq不为0，并不表示曾经一定发送过数据，是否发送过数据需要依据Len指令的值有没有大于0的来判断。

2. 3次握手和4次挥手过程中一般是不会传送数据的，所以这个过程中Len指令都是0

三次握手分析：

1.打开wireshark, 输入捕获过滤器为：tcp，显示过滤器为：tcp.port == 80，选择我连接网络的网卡为：WLAN

2.点击右上角开始捕获分组，进入捕获界面

3.打开浏览器输入 http://www.aigony.com ，接下来即可看到捕获信息

图中可以看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的， 这说明HTTP的确是使用TCP建立连接的。

第一次握手数据包

客户端向服务器发送连接请求包，标志位SYN（同步序号）置为1，序号Seq为X=0，如下图

第二次握手的数据包

服务器收到客户端发过来的报文，由SYN=1知道客户端要求建立连接。服务器发回确认包, 标志位SYN和ACK都置为1。 将确认序号(Acknowledgement Number)设置为客户端的Seq+1，即X+1= 0+1=1, 如下图

第三次握手的数据包

客户端收到服务器发来的包后检查确认序号(Acknowledgement Number)是否正确，即第一次发送的序号加1（X+1=1）。以及标志位ACK是否为1。若正确，客户端再次发送确认包(ACK)，SYN标志位为0，ACK标志位为1。 确认序号(Acknowledgement Number)为Y+= 0+1= 1，发送序号Seq为X+1=1。服务器收到后确认序号值与ACK=1则连接建立成功，可以传送数据了。 如下

就这样通过TCP三次握手，建立了HTTP连接 。