WireShark 简介和抓包原理及过程

type

status

date

slug

summary

引言：

在我们日常的网络生活中，电子邮件、网页浏览、在线视频，每一个操作背后都是网络通信的默默工作。网络通信的基础是一系列复杂的协议，而理解这些协议的工作方式可以帮助我们更好地理解网络的运作。WireShark，一个强大的网络协议分析工具，使我们能够深入了解这些协议的内部运作，从而帮助我们解决网络问题。

WireShark 简介和抓包原理及过程

WireShark 简介

Wireshark 是一个网络封包分析软件。网络封包分析软件的功能是损取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark 使用 WinPCAP 作为接口，直接与网卡进行数据报文交换。

WireShark的应用

WireShark是一款功能强大的网络协议分析工具，其应用场景广泛。在网络故障排查方面，WireShark能够帮助我们通过分析网络流量，查看数据包来定位问题的原因。同时，它也可以被用于网络性能优化，通过对网络中数据流的分析，我们可以找出网络瓶颈并进行针对性优化。在网络安全领域，WireShark可以助力发现和定位网络中的安全问题。此外，对于学习和研究网络协议以及开发和测试新的网络协议，WireShark都是一个非常有价值的工具，使我们能够深入理解协议的运行细节，或观察新协议的实际行为。

开发者使用 Wireshark 来为新的通讯协议除错，普通使用者使用 Wireshark 来学习网络协议的相关知识。当然，有的人也会“居心叵测”的用它来寻找一些敏感信息......

WireShark 快速分析数据包技巧

(1)确定Wireshark 的物理位置。如果没有一个正确的位置，启动 Wireshark 后会花费很长的时间捕获一些与自己无关的数据。

(2) 选择捕获接口。一般都是选择连接到lnternet 网络的接口，这样才可以捕获到与网络相关的数据。否则，捕获到的其它数据对自己也没有任何帮助。

(3) 使用捕获过滤器。通过设置捕获过滤器，可以避免产生过大的捕获数据。这样用户在分析数据时，也不会受其它数据干扰。而且，还可以为用户节约大量的时间。

(4) 使用显示过滤器。通常使用捕获过滤器过滤后的数据，往往还是很复杂。为了使过滤的数据包再更细致，此时使用显示过滤器进行过滤。

(5) 使用着色规则。通常使用显示过滤器过滤后的数据，都是有用的数据包。如果想更加突出的显示某个会话，可以使用着色规则高亮显示。

(6) 构建图表。如果用户想要更明显的看出一个网络中数据的变化情况，使用图表的形式可以很方便的展现数据分布情况。

(7) 重组数据。当传输较大的图片或文件时，需要将信息分布在多个数据包中。这时候就需要使用重组数据的方法来抓取完整的数据。Wireshark 的重组功能，可以重组一个会话中不同数据包的信息，或者是重组一个完整的图片或文件。

WireShark界面

WireShark过滤器语法

协议类型：你可以直接输入协议名称，如 "http"、"dns" 或 "tcp"，WireShark会过滤出所有该类型的数据包。

源和目标IP地址：你可以使用 "ip.src == x.x.x.x" 和 "ip.dst == y.y.y.y" 来过滤出特定IP地址的数据包。这里的x.x.x.x和y.y.y.y需要替换为实际的IP地址。

源和目标端口：你可以使用 "tcp.srcport == 80" 和 "tcp.dstport == 80" 来过滤出特定端口的TCP数据包。

逻辑操作符：你可以使用逻辑操作符 "&&"（与）、"||"（或）和 "!"（非）来组合过滤器。例如， "http && ip.src == x.x.x.x" 会过滤出所有从特定IP地址发送的HTTP数据包。

内容搜索：你可以使用 "contains" 和 "matches" 操作符来搜索数据包的内容。例如， "http contains 'OpenAI'" 会过滤出所有HTTP数据包中包含'OpenAI'字符串的数据包。

注意，WireShark的过滤器语法区分大小写，你需要确保所有的协议名、字段名和操作符都是小写。这只是WireShark过滤器语法的基础，实际上，它的功能远不止这些。你可以参考WireShark的官方文档来了解更多的过滤器语法和使用方法。

常用协议分析

A. HTTP协议分析：通过WireShark, 监控到每一个HTTP请求及其响应，包括请求方法、URL、状态码、请求和响应头部信息等。这对于理解如何优化网页加载速度，或识别可能的安全风险都非常有帮助。例如，我们可以查看服务器返回的HTTP头部中的缓存控制字段，来了解网页内容是如何被缓存的，以此来优化网页加载速度。

B. DNS协议分析：WireShark能跟踪DNS查询以及其响应，了解域名解析的全过程。例如，如果一个网站加载缓慢，那可能是因为DNS查询时间过长。通过WireShark，我们可以找到问题并优化它。

C. TCP/IP协议分析：TCP/IP协议是互联网的基石，理解和分析它们对于网络故障排查和性能优化至关重要。使用WireShark，可以看到每个TCP/IP数据包的详细信息，包括源/目标IP地址、端口号、序列号、确认号以及控制标志等。例如，我们可以通过分析TCP重传和丢包来识别网络问题，通过观察TCP窗口大小的变化来了解网络拥塞状况。

结论：

WireShark作为一款强大的网络分析工具，其在帮助我们理解网络协议，解决网络问题，以及进行网络性能优化方面发挥了巨大的作用。同时，随着网络技术的日益发展，我们相信WireShark在未来将有更多的应用场景和更深远的影响。