wireshark--网络分析

Wireshark简介

Wireshark（前称Ethereal）是一个免费开源的网络数据包分析软件。网络数据包分析软件的功能是截取网络数据包，并尽可能显示出最为详细的网络数据包数据。Wireshark是目前全世界最广泛的网络数据包分析软件之一。

官网地址

https://www.wireshark.org/

Wireshark使用目的

以下是一些使用Wireshark目的的例子：

网络管理员使用Wireshark来检测网络问题
网络安全工程师使用Wireshark来检查信息安全相关问题
开发者使用Wireshark来为新的通信协议除错
普通用户使用Wireshark来学习网络协议的相关知识

使用方法

用一些过滤参数可以抓到你想要的包，过滤器语法请参考 man pcap-filter(7).

过滤 TCP 包

只想看到 TCP 数据包，在 "Filter" 拦输入 tcp。

过滤 UDP 包

只想看到 UDP 数据包，在 "Filter" 拦输入 udp。

过滤指定 IP 地址的包

将 1.2.3.4 替换为要查看的 IP 地址。

只想查看发到某个特定地址的数据包，输入 ip.dst == 1.2.3.4。

只想查看从某个特定地址发出的数据包，输入 ip.src == 1.2.3.4。

要查看某个特定地址的所有数据包，输入 ip.addr == 1.2.3.4。
端口过滤
tcp.port ==80,  端口为80的
tcp.srcport == 80,  只显示TCP协议的源端口为80的。

Http模式过滤
http.request.method=="GET",   只显示HTTP GET方法的。

窗口介绍

2012100609122040.png

封包信息介绍

这个面板是我们最重要的，用来查看协议中的每一个字段。

各行信息分别为

Frame: 物理层的数据帧概况

Ethernet II: 数据链路层以太网帧头部信息

Internet Protocol Version 4: 互联网层IP包头部信息

Transmission Control Protocol: 传输层T的数据段头部信息，此处是TCP

Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协议

对应OSI七层模型

2012100709030740.png

Tcp包的具体内容

2012100717254656.png

实例分析三次握手

三次握手过程为

2012100722541987-1.png

打开wireshark, 打开浏览器输入 http://blkid.cn

在wireshark中输入http过滤， 然后选中GET /tank HTTP/1.1的那条记录，右键然后点击"Follow TCP Stream",

这样做的目的是为了得到与浏览器打开网站相关的数据包，将得到如下图

2012100723095165-1.png

图中可以看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的， 这说明HTTP的确是使用TCP建立连接的。

第一次握手数据包

客户端发送一个TCP，标志位为SYN，序列号为0， 代表客户端请求建立连接。 如下图

2012100723171949.png

第二次握手的数据包

服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的I S N加1以.即0+1=1, 如下图

2012100723221390.png

第三次握手的数据包

客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1, 如下图:

2012100723244189.png