wireshark学习笔记

2024-08-29 186

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： wireshark学习笔记

wireshark学习笔记

阅读目录

回到顶部

一、Wireshark 界面介绍

1.捕获报文

• 点击捕获->选项，打开捕获窗口
　　• 网卡设备/流量/捕获过滤器，点击“开始”按钮开始抓包
　　• 输出（指定缓存文件）/选项（显示、名称解析、自动停止抓包条件）面板

2.报文展示

3.快捷方式工具栏

4.数据包列表面板的标记符号

回到顶部

二、显示界面设置

1.设定时间显示格式(视图--时间显示格式中设置)

绝对时间

相对时间

基于某一个数据包的相对时间

后续包临时基于3号包

2.显示大小

放大

缩小

还原

3.列设置

增加列

修改列

隐藏及删除列

4.名字解析

将Mac地址、IP地址、端口转换成名称，浏览大的情况下慎重开启

回到顶部

三、数据包操作

1.标记数据包

2.会话着色

临时修改数据包着色

永久修改对话着色

3.合并数据包

4.打印数据包

回到顶部

四、首选项设置

1.修改默认打开文件路径(默认是上一次)

2.界面布局

3.修改抓包设置

4.修改名称解析(之前是临时设置)

回到顶部

五、抓包选项设置

1.接口及捕获器设置

2.输出文件配置

3.设置名称解析及自动停止抓包

回到顶部

六、捕获过滤器设置

1.捕获过滤器简介

通过指定条件，减少抓取的报文体积

使用 BPF 语法，功能相对有限

2.捕获器表达式

语法说明

2.1 type类型

host、port

net ，设定子网，net 192.168.0.0 mask 255.255.255.0 等价于 net 192.168.0.0/24

portrange，设置端口范围，例如 portrange 6000-8000

2.2 dir指定网络方向

src、dst、src or dst、src and dst

ra、ta、addr1、addr2、addr3、addr4（仅对 IEEE 802.11 Wireless LAN 有效）

2.3 protocol指定协议类型

ether、fddi、tr、 wlan、 ip、 ip6、 arp、 rarp、 decnet、 tcp、udp、icmp、igmp、icmp、

igrp、pim、ah、esp、vrrp

2.4 逻辑运算

与：&& 或者 and

或：|| 或者 or

非：! 或者 not

2.5.其他

gateway：指明网关 IP 地址，等价于 ether host ehost and not host host

broadcast：广播报文，例如 ether broadcast 或者 ip broadcast

multicast：多播报文，例如 ip multicast 或者 ip6 multicast

less, greater：小于或者大于

3.示例

src or dst portrange 6000-8000 && tcp or ip6   抓取源和目标端口范围为6000-8000的流量
src host 192.168.1.1 && dst port 80    抓取源地址为192.168.1.1，并且端口为80的流量
host 192.168.1.1 || host 192.168.1.2   抓取源地址为192.168.1.1或者192.168.1.2主机的流量
!broadcast 不抓取广播包
ether src host 00:00:5e:00:53:00  抓取源MAC地址为  00:00:5e:00:53:00的流量
port 80 抓取80端口流量
arp  只抓取ARP协议流量
icmp 只抓钱ICMP协议流量
tcp src port 22  抓取源端口为22 TCP协议数据包
tcp dst portrange 21-23 抓取模板端口为21-23 TCP协议数据包
官方示例：https://gitlab.com/wireshark/wireshark/-/wikis/CaptureFilters
官方文档：https://www.tcpdump.org/manpages/pcap-filter.7.html