介绍
网络封包分析软件。
Wireshark使用WinPCAP作为接口， 直接与网卡进行数据报文交换。
安装
官网下载安装。
可能遇到的问题
wireshark 打开后，找不到网卡接口。
问题原因： wireshark 中自带的winpcap 不支持win10。
可以下载一个win10 支持的 winpcap 。
关闭wireshark后安装，重新打开wireshark 即可。
简单使用
1、选择网卡接口类型
2、启动抓包
捕获菜单: 开始 (快捷键 CTRL +E)
3、停止抓包
捕获菜单: 开始 (快捷键 CTRL +E，启动抓包后有效)
4、过滤栏
在过滤栏中输入过滤信息，点击Apply，方便信息的筛选。
也可以在分析菜单栏中选择Display Filters来创建新的过滤条件。
5、分组列表
每一行代表一个网络报文。
每一列代表的含义，从左至右一次为：
- 编号
- 接收时间(相对抓取的时间)
- 源IP 地址
- 目的IP 地址
- 使用的协议
- 长度
- 报文相关信息
6、色彩标识
可在视图菜单中的着色规则中查看
一般情况：
- 绿色: TCP 报文
- 深蓝色：DNS 报文
- 浅蓝色： UDP报文
- 黑色：有问题的TCP报文，例如：乱序报文
- 黑色背景红色字体：重传报文
7、追踪流
选中一个报文之后，就可以深入挖掘它的内容了
右键，追踪流，可以看到服务器和目标端之间的全部会话。
客户端报文用红色标识， 服务器的报文则为蓝色。
实例
抓取浏览器访问中国知网的数据包
1、获取中国知网的IP地址，用来过滤
可以使用在线的IP地址查询工具
2、在wireshark的过滤栏中添加过滤条件: ip.addr == 115.31.65.10 或者 ip.addr eq 115.31.65.10
3、开始抓取并进行分析
