快捷導(dǎo)航

wireshark網(wǎng)絡(luò)抓包工具的使用教程

更新時(shí)間：2023年08月29日 14:26:03 作者：明黔雨後

WireShark是非常流行的網(wǎng)絡(luò)抓包分析工具,可以截取各種網(wǎng)絡(luò)數(shù)據(jù)包,并顯示數(shù)據(jù)包詳細(xì)信息,下面就跟隨小編一起學(xué)習(xí)一下wireshark的具體使用吧

簡(jiǎn)介

WireShark是非常流行的網(wǎng)絡(luò)抓包分析工具，可以截取各種網(wǎng)絡(luò)數(shù)據(jù)包，并顯示數(shù)據(jù)包詳細(xì)信息。常用于開(kāi)發(fā)測(cè)試過(guò)程中各種問(wèn)題定位。

本文主要內(nèi)容包括：

1、Wireshark軟件下載和安裝以及Wireshark主界面介紹。

2、WireShark簡(jiǎn)單抓包示例。通過(guò)該例子學(xué)會(huì)怎么抓包以及如何簡(jiǎn)單查看分析數(shù)據(jù)包內(nèi)容。

3、Wireshark過(guò)濾器使用。通過(guò)過(guò)濾器可以篩選出想要分析的內(nèi)容。包括按照協(xié)議過(guò)濾、端口和主機(jī)名過(guò)濾、數(shù)據(jù)包內(nèi)容過(guò)濾。

WireShark軟件安裝

軟件下載路徑：wireshark官網(wǎng)。按照系統(tǒng)版本選擇下載，下載完成后，按照軟件提示一路Next安裝。

如果你是Win10系統(tǒng)，安裝完成后，選擇抓包但是不顯示網(wǎng)卡，下載win10pcap兼容性安裝包。下載路徑：win10pcap兼容性安裝包

Wireshark 開(kāi)始抓包示例

打開(kāi)wireshark后在抓包前要選擇網(wǎng)絡(luò)，根據(jù)自己的網(wǎng)絡(luò)配置通常雙擊選擇以太網(wǎng)或者WLAN

進(jìn)入抓包界面后，我們可以看到獲取到了很多的請(qǐng)求，這里我們先假定抓取自己的目標(biāo)請(qǐng)求百度首頁(yè)，https://www.baidu.com/

wireshark抓包完成，就這么簡(jiǎn)單。關(guān)于wireshark過(guò)濾條件和如何查看數(shù)據(jù)包中的詳細(xì)內(nèi)容在后面介紹。通過(guò)上面操作你會(huì)發(fā)現(xiàn)有很多數(shù)據(jù)，很難找到我們要分析的數(shù)據(jù)，那么接下來(lái)帶著這個(gè)問(wèn)題，我們可以學(xué)習(xí)一下wireshark的過(guò)濾功能

Wireshark過(guò)濾器設(shè)置

初學(xué)者使用wireshark時(shí)，將會(huì)得到大量的冗余數(shù)據(jù)包列表，以至于很難找到自己自己抓取的數(shù)據(jù)包部分。wireshar工具中自帶了兩種類型的過(guò)濾器，學(xué)會(huì)使用這兩種過(guò)濾器會(huì)幫助我們?cè)诖罅康臄?shù)據(jù)中迅速找到我們需要的信息。

（1）抓包過(guò)濾器

捕獲過(guò)濾器的菜單欄路徑為捕【捕獲】-> 【捕獲過(guò)濾器】。用于在抓取數(shù)據(jù)包前設(shè)置。

（2）顯示過(guò)濾器顯示過(guò)濾器是用于在抓取數(shù)據(jù)包后設(shè)置過(guò)濾條件進(jìn)行過(guò)濾數(shù)據(jù)包。通常是在抓取數(shù)據(jù)包時(shí)設(shè)置條件相對(duì)寬泛，抓取的數(shù)據(jù)包內(nèi)容較多時(shí)使用顯示過(guò)濾器設(shè)置條件過(guò)濾以方便分析。

在這里設(shè)置http，意思是僅展示Protoco為http的數(shù)據(jù)。

還可以根據(jù)目表地址的ip作為過(guò)濾條件，如圖

一次設(shè)置多個(gè)條件，中間用and連接

停止抓包

點(diǎn)擊左上角的「紅色按鈕」，可以停止抓包

保存數(shù)據(jù)

點(diǎn)擊右上角的「文件」，選擇「保存」，可以保存抓包的數(shù)據(jù)

也可以直接點(diǎn)擊工具欄的保存按鈕

界面介紹

Wireshark 的主界面包含6個(gè)部分：

菜單欄：用于調(diào)試、配置工具欄：常用功能的快捷方式過(guò)濾欄：指定過(guò)濾條件，過(guò)濾數(shù)據(jù)包數(shù)據(jù)包列表：核心區(qū)域，每一行就是一個(gè)數(shù)據(jù)包數(shù)據(jù)包詳情：數(shù)據(jù)包的詳細(xì)數(shù)據(jù)數(shù)據(jù)包字節(jié)：數(shù)據(jù)包對(duì)應(yīng)的字節(jié)流，二進(jìn)制

基礎(chǔ)操作

接下來(lái)，我們學(xué)習(xí)一下Wireshark常用的操作。

1. 調(diào)整界面大小

工具欄中的三個(gè)「放大鏡」圖標(biāo)，可以調(diào)整主界面數(shù)據(jù)的大小。

從左到右依次是：放大、縮小、還原默認(rèn)大小。

2. 設(shè)置顯示列

數(shù)據(jù)包列表是最常用的模塊之一，列表中有一些默認(rèn)顯示的列，我們可以添加、刪除、修改顯示的列。

1）添加顯示列

想要在數(shù)據(jù)列表中顯示某一個(gè)字段，可以將這個(gè)數(shù)據(jù)字段添加至顯示列中。左鍵選中想要添加為列的字段，右鍵選擇「應(yīng)用為列」。

選中字段，按 Ctrl + Shift + I ，也可以實(shí)現(xiàn)同樣的效果。

添加為列的字段會(huì)在數(shù)據(jù)列表中顯示。

2）隱藏顯示列

暫時(shí)不想查看的列，可以暫時(shí)隱藏起來(lái)。在顯示列的任意位置右鍵，取消列名的「勾選」，即可隱藏顯示列。

3）刪除顯示列

不需要查看的字段，可以從顯示列中刪除。右鍵需要?jiǎng)h除的列，點(diǎn)擊最下方的「Remove this Column」。

注意：隱藏字段時(shí)，在列名欄的任意位置右鍵即可；而刪除字段時(shí)，需要在指定的列名位置右鍵，以防誤刪。

3. 設(shè)置時(shí)間

數(shù)據(jù)包列表欄的時(shí)間這一列，默認(rèn)顯示格式看起來(lái)很不方便，我們可以調(diào)整時(shí)間的顯示格式。點(diǎn)擊工具欄的「視圖」，選擇「時(shí)間顯示格式」，設(shè)置你喜歡的格式。

4. 標(biāo)記數(shù)據(jù)包

對(duì)于某些比較重要的數(shù)據(jù)包，可以設(shè)置成高亮顯示，以達(dá)到標(biāo)記的目的。選中需要標(biāo)記的數(shù)據(jù)包，右鍵選擇最上面的「標(biāo)記/取消標(biāo)記」。

選中數(shù)據(jù)包，按 Ctrl + M 也可以實(shí)現(xiàn)同樣的效果，按兩次可以取消標(biāo)記。

5. 導(dǎo)出數(shù)據(jù)包

演示快速抓包時(shí)，我們講過(guò)保存數(shù)據(jù)包的操作，保存操作默認(rèn)保存所有已經(jīng)抓取的數(shù)據(jù)包。但有時(shí)候，我們只需要保存指定的數(shù)據(jù)包，這時(shí)候可以使用導(dǎo)出的功能。

1）導(dǎo)出單個(gè)數(shù)據(jù)包選中數(shù)據(jù)包，點(diǎn)擊左上角的「文件」，點(diǎn)擊「導(dǎo)出特定分組」。

在「導(dǎo)出分組界面」，選擇第二個(gè) 「Selected packets only」，只保存選中的數(shù)據(jù)包。

2）導(dǎo)出多個(gè)數(shù)據(jù)包有時(shí)候我們需要導(dǎo)出多個(gè)數(shù)據(jù)包，Wireshark有一個(gè)導(dǎo)出標(biāo)記的數(shù)據(jù)包的功能，我們將需要導(dǎo)出的數(shù)據(jù)包都標(biāo)記起來(lái)，就可以同時(shí)導(dǎo)出多個(gè)數(shù)據(jù)包。

點(diǎn)擊左上角的「文件」，點(diǎn)擊「導(dǎo)出特定分組」。

在「導(dǎo)出分組界面」，勾選第三個(gè) 「Marked packets only」，只導(dǎo)出標(biāo)記的數(shù)據(jù)包。

6. 開(kāi)啟混雜模式

局域網(wǎng)的所有流量都會(huì)發(fā)送給我們的電腦，默認(rèn)情況下，我們的電腦只會(huì)對(duì)自己mac的流量進(jìn)行解包，而丟棄其他mac的數(shù)據(jù)包。開(kāi)啟混雜模式后，我們就可以解析其他mac的數(shù)據(jù)包，因此，我們使用Wireshark時(shí)，通常都會(huì)開(kāi)啟混雜模式。

點(diǎn)擊菜單欄的「捕獲」按鈕，點(diǎn)擊「選項(xiàng)」。