WireShark 抓包详细教程

Wireshark是网络封包分析软件利器，可以截取各种网络数据包，并显示数据包详细信息。常用于开发测试运维过程各种问题定位。

软件下载：https://www.wireshark.org/。

win10pcap兼容性安装包下载：http://www.win10pcap.org/download/

Wireshark 抓包示例

首先介绍一个使用wireshark工具抓取ping命令数据包的操作示例，让我们可以先感受一下抓包的具体过程。

1、打开wireshark ，主界面如下（已经有中文版，对照着看既可）：

2、选择菜单栏上Capture -> Option，勾选网卡（这里需要根据各自电脑网卡使用情况选择）。点击Start启动抓包。

3、wireshark启动抓包后，就处于抓包状态中。

4、执行一个数据包操作，如ping www.baidu.com。

5、操作完成后相关数据包就抓取到了。为避免其他数据包影响分析，可在过滤栏设置过滤条件，过滤结果如下图。

Wireshark抓包界面介绍

说明：数据包列表区中不同的协议使用了不同的颜色区分。协议颜色标识定位在菜单栏View --> Coloring Rules。如下所示

WireShark 主要分为这几个界面

1.Display Filter(显示过滤器)，  用于设置过滤条件进行数据包列表过滤。菜单路径：Analyze --> Display Filters。

2.Packet List Pane(数据包列表)， 显示捕获到的数据包，每个数据包包含编号，时间戳，源地址，目标地址，协议，长度，以及数据包信息。不同协议的数据包使用了不同的颜色区分显示。

3.Packet Details Pane(数据包详细信息), 在数据包列表中选择指定数据包，在数据包详细信息中会显示数据包的所有详细信息内容。数据包详细信息面板是最重要的，用来查看协议中的每一个字段。各行信息分别为

（1）Frame:   物理层的数据帧概况

（2）Ethernet II: 数据链路层以太网帧头部信息

（3）Internet Protocol Version 4: 互联网层IP包头部信息

（4）Transmission Control Protocol:  传输层T的数据段头部信息，此处是TCP

（5）Hypertext Transfer Protocol:  应用层的信息，此处是HTTP协议

TCP包的具体内容：

从下图可以看到wireshark捕获到的TCP包中的每个字段。

4.Dissector Pane(数据包字节区)。报文原始内容。

Wireshark过滤器设置

初学者使用wireshark时，将会得到大量的冗余数据包列表，以至于很难找到自己需要抓取的数据包部分。wireshark工具中自带了两种类型的过滤器，学会使用这两种过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。

（1）捕获过滤器

捕获过滤器的菜单栏路径为Capture --> Capture Filters。用于在抓取数据包前设置。

可以在抓取数据包前设置如下。

ip host 60.207.246.216 and icmp表示只捕获主机IP为60.207.246.216的ICMP数据包。获取结果如下：

（2）显示过滤器

显示过滤器是用于在抓取数据包后设置过滤条件进行过滤数据包。通常是在抓取数据包时设置条件相对宽泛或者没有设置导致抓取的数据包内容较多时使用显示过滤器设置条件过滤以方便分析。同样上述场景，在捕获时未设置抓包过滤规则直接通过网卡进行抓取所有数据包，如下

执行ping www.huawei.com获取的数据包列表如下

观察上述获取的数据包列表，含有大量的无效数据。这时可以通过设置显示器过滤条件进行提取分析信息。ip.addr == 211.162.2.183 and icmp。并进行过滤。

上述介绍了抓包过滤器和显示过滤器的基本使用方法。在组网不复杂或者流量不大情况下，使用显示器过滤器进行抓包后处理就可以满足我们使用。

Wireshark过滤器表达式的规则

1、捕获过滤器

捕获过滤器表达式没有像显示过滤器表达式那样明显的规律，但写法不多所以也不难；而且除非全部捕获要占用的磁盘空间实现太大，且你非常明确过滤掉的数据包是你不需要的，不然一般都不用捕获过滤器表达式。

①语法结构：

语法	Protocol （协议）	Direction （方向）	Host(s)Value（主机及数值）	Logical Operations（逻辑运算符）	Other expression
包含	tcp,udp,ether,ip,arp,icmp,decnet,lat,sca,moprc,mopdl等	src, dst, src and dst, src or dst	net(10.0.0.0/8),  host(10.1.1.1), port(80),  portrange(200-10000)	and(&&), or(||), not(!), xor(^^)	如tcp dst 10.2.2.2 3128

捕获过滤表达式可以由Protocol、Direction、Host(s)Value、Logical Operations 4个核心元素自由组合。
②示例：

(host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net 10.0.0.0/8

捕捉IP为10.4.1.12或者源IP位于网络10.6.0.0/16，目的IP的TCP端口号在200至10000之间，并且目的IP位于网络 10.0.0.0/8内的所有封包。

2、显示过滤器

①语法结构：

显示过滤器的语法包含5个核心元素：IP地址、端口、协议、比较运算符和逻辑运算符。
显示过滤表达式可以由5个核心元素自由组合，比如：
   ip.addr == 192.168.32.121 and tcp  显示IP地址为 192.168.32.121 的tcp数据包
   tcp.port == 80  显示端口为 80 的数据包

IP地址：ip.addr、ip.src、ip.dst

端口：tcp.port、tcp.srcport、tcp.dstport

协议：tcp、udp、http、eth、ip、telnet、ftp、icmp、snmp等等

比较运算符：

逻辑运算符：

②常见实例

1）数据链路层：

筛选目标mac地址为04:f9:38:ad:13:26的数据包----eth.dst == 04:f9:38:ad:13:26

筛选源mac地址为04:f9:38:ad:13:26的数据包----eth.src == 04:f9:38:ad:13:26

2）网络层：

筛选ip地址为192.168.1.1的数据包----ip.addr == 192.168.1.1

筛选192.168.1.0网段的数据---- ip contains '192.168.1'

筛选192.168.1.1和192.168.1.2之间的数据包----ip.addr == 192.168.1.1 && ip.addr == 192.168.1.2

筛选从192.168.1.1到192.168.1.2的数据包----ip.src == 192.168.1.1 && ip.dst == 192.168.1.2

3）传输层：

筛选tcp协议的数据包----tcp

筛选除tcp协议以外的数据包----!tcp

筛选端口为80的数据包----tcp.port == 80

筛选12345端口和80端口之间的数据包----tcp.port == 12345 && tcp.port == 80

筛选从12345端口到80端口的数据包----tcp.srcport == 12345 && tcp.dstport == 80

4）应用层：

特别说明----http中http.request表示请求头中的第一行（如GET index.jsp HTTP/1.1），http.response表示响应头中的第一行（如HTTP/1.1 200 OK），其他头部都用http.header_name形式。

筛选url中包含.php的http数据包----http.request.uri contains '.php'

筛选内容包含username的http数据包----http contains 'username'

显示post请求方式的http封包---http.request.method== 'POST'

显示请求的域名为tracker.1ting.com的http封包---http.host == 'tracker.1ting.com'

5）按照数据包内容过滤。假设我要以IMCP层中的Data字段进行过滤，可以单击选中界面中的码流，在下方选中Data，右键单击选中后出现如下界面，如下

选中Select后在过滤器中显示如下

后面条件表达式就需要自己填写。如下我想过滤出data数据包中包含'abcd'内容的数据流。包含的关键词是**contains **后面跟上内容。

看到这， 基本上对wireshak有了初步了解。

Wireshark抓包分析TCP三次握手

（1）TCP三次握手连接建立过程

Step1：客户端发送一个标志位SYN=1，ACK=0，发送序列号

Sequence Number=X的数据包给服务端，请求进行连接，这是第一次握手；

Step2：服务端收到请求并且允许连接的话，就会发送一个标志位SYN=1，ACK=1，确认序列号Acknowledgment Number=X+1，发送序列号Sequence Number=Y的数据包给客户端，告诉它可以通讯了，并且让客户端发送一个确认数据包，这是第二次握手；

Step3：客户端收到数据包后发送一个标志位SYN=0，ACK=1，确认序列号Acknowledgment Number=Y+1，发送序列号Sequence Number=X+1的数据包给客户端，告诉它连接已被确认，这就是第三次握手。TCP连接建立，开始通讯。

发送序列号为当前端成功发送的数据位数，确认序列号为当前端成功接收的数据位数。

举例说明：

（2）wireshark抓包获取访问指定服务端数据包

Step1：启动wireshark抓包，打开浏览器输入www.huawei.com。

Step2：使用ping www.huawei.com获取IP。

Step3：输入过滤条件获取待分析数据包列表 ip.addr == 211.162.2.183

图中可以看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的， 这说明HTTP的确是使用TCP建立连接的。

第一次握手数据包

客户端发送一个TCP，标志位为SYN，序列号为0， 代表客户端请求建立连接。如下图。

数据包的关键属性如下：

SYN ：标志位，表示请求建立连接

Seq = 0 ：初始建立连接值为0，数据包的相对序列号从0开始，表示当前还没有发送数据

Ack =0：初始建立连接值为0，已经收到包的数量，表示当前没有接收到数据

第二次握手的数据包

服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的I S N加1即0+1=1, 如下图

数据包的关键属性如下：

Seq = 0 ：初始建立值为0，表示当前还没有发送数据

Ack = 1：表示当前端成功接收的数据位数，虽然客户端没有发送任何有效数据，确认号还是被加1，因为包含SYN或FIN标志位。（并不会对有效数据的计数产生影响，因为含有SYN或FIN标志位的包并不携带有效数据）

第三次握手的数据包

客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1, 如下图:

数据包的关键属性如下：

ACK ：标志位，表示已经收到记录

Seq = 1 ：表示当前已经发送1个数据

Ack = 1 : 表示当前端成功接收的数据位数，虽然服务端没有发送任何有效数据，确认号还是被加1，因为包含SYN或FIN标志位（并不会对有效数据的计数产生影响，因为含有SYN或FIN标志位的包并不携带有效数据)。

就这样通过了TCP三次握手，建立了连接。开始进行数据交互

下面针对数据交互过程的数据包进行一些说明：

数据包的关键属性说明

Seq: 1

Ack: 1: 说明现在共收到1字节数据

Seq: 1
Ack: 951: 说明现在服务端共收到951字节数据

在TCP层，有个FLAGS字段，这个字段有以下几个标识：SYN, FIN, ACK, PSH, RST, URG。如下

其中，对于我们日常的分析有用的就是前面的五个字段。
它们的含义是：
FIN表示关闭连接，
SYN表示建立连接，
RST表示连接重置，
PSH表示有DATA数据传输，
ACK表示响应。

本文参考文档：https://blog.csdn.net/zzwwhhpp/article/details/113077747