Wireshark – 数据包捕获与分析工具

Wireshark是一款功能强大的网络协议分析工具，可用于捕获和检查在网络中传输的数据包。它可以帮助用户了解网络流量情况，发现潜在问题，并详细分析各种协议。

• 通过混杂模式捕获实时网络流量，并将这些流量存储为PCAP文件，以便后续分析。
• 提供包含过滤选项的详细数据包视图，以便能够隔离特定的IP地址、端口或协议。
• 对于故障排除、安全监控以及了解网络和应用之间的通信方式来说，这一点非常有用。

1. 数据包捕获

Wireshark通过让网络接口卡进入“混杂模式”来捕获网络流量。这样一来，Wireshark就能够查看网络段上的所有数据包，而不仅仅是那些发往您系统的数据包。

“捕获”是如何进行的呢？

• 实时捕获流量，并将其存储起来。.pcap or .pcapng文件
• 在现代系统中，使用 Npcap（Nmap 的包捕获库）来进行相关操作。
• 支持使用捕获过滤器来限制收集的数据范围（例如，只收集HTTP数据包，或者只收集来自特定IP地址的流量）。

捕获滤镜的示例：

• 主机：192.168.1.10
• 网络地址：10.0.0.0/24
• 源端口：53
• TCP，而非端口80

2. 数据包分析

在捕获数据包之后，Wireshark提供了强大的工具来深入分析这些数据包。你可以通过使用显示过滤器来缩小查看范围，从而更容易地检查特定的对话或协议。

三种分析视角

• 数据包列表窗格：所有数据包的摘要
• 数据包详细信息面板：逐层协议解析
• 数据包字节面板：原始十六进制数 + ASCII格式显示

显示过滤器的示例：

• tcp.port == 80
• ip.addr == 192.168.1.5
• http.request.uri 包含 “login” 这个词。
• ip.src == 192.168.0.0/16 且 ip.dst == 192.168.0.0/16

为什么数据包嗅探行为很重要呢？

数据包嗅探是网络侦察、监控和故障排除过程中不可或缺的一部分。

Wireshark能够帮助你：

• 检测网络问题
• 识别恶意或可疑的流量
• 调试和测试网络应用程序
• 了解协议和数据包究竟是如何工作的。

它就像一台“X光机”，用于检测网络通信中的各种问题。

• 这个窗口展示了您设备上的各种接口。
• 要开始进行嗅探操作，请选择一个接口，然后点击左上角的蓝色图标。
• 数据捕获界面共有三个面板。
• 最上面的面板显示的是实时交通情况；中间的面板则显示了所选数据包的相关信息；而最下面的面板则展示了原始的数据包内容。
• 最上面的面板显示了源地址（IPv4或IPv6）、目标地址、源端口和目标端口号，以及数据包所属的协议。此外，还有关于数据包的其他信息。

• 由于每秒钟都有大量的数据包进入和离开，因此要逐一查看所有数据包或寻找某一类特定的数据包是非常繁琐的工作。
• 这就是为什么需要设置数据包过滤器来进行的。
• 数据包可以根据许多参数进行过滤，比如IP地址、端口号或协议等。这种过滤可以在捕获阶段或显示阶段进行。显然，显示级过滤器不会影响那些被捕获的数据包。

捕获过滤器

在Wireshark中，捕获过滤器可以帮助你控制在捕获开始之前，哪些数据包会被记录下来。这些过滤器有助于减少噪声的影响，因为它们只记录你感兴趣的数据包。

常见的捕获滤镜

主持人：捕获来自或前往特定设备的流量。
例如：主机：192.168.1.10

2. 净值：能够捕获网络或子网络内的流量。
例如：网络地址：192.168.1.0/24
可以加上“src”或“dst”作为方向控制的前缀：

• 源网络：10.0.0.0/8
• dst网络：172.16.0.0/16

3. 端口：捕获特定端口上的流量
例如：端口 80
也可以使用“方向”来表示：

• 源端口：53
• 端口 443

4. 逻辑运算符：用于组合多个条件

• 还有
• or
• 不

示例：将主机设置为 10.0.0.5，而不是端口 22。

显示过滤器的示例

显示过滤器可以筛选出被捕获的流量，从而帮助用户专注于特定的数据包。

• tcp.port == 80 or udp.port == X显示特定端口上的流量情况。
• http.request.uri 符合 “parameter=value$” 的格式。显示那些URI以指定参数结尾的HTTP请求。
• ip.src == 192.168.0.0/16 且 ip.dst == 192.168.0.0/16显示在特定局域网范围内交换的数据包。
• 逻辑连接词（如“和”、“或”、“非”）在这里同样适用。

Wireshark插件

Wireshark支持使用插件来扩展其功能。这些插件可以：

• 提供更深入的见解以及个性化的统计数据。
• 支持新的或自定义的协议。
• 改善与其他工具或监控框架的协作效果。
• 帮助管理捕获文件格式以及解决相关故障问题。

这些插件使得Wireshark能够适应复杂的网络取证需求以及用户自定义的工作流程需求。

Wireshark的应用场景

Wireshark可以用于多种实际场景中，例如：

• 诊断网络或Wi-Fi连接问题
• 用于监控异常或恶意流量的设备
• 对支持网络功能的应用程序进行测试和调试
• 学习和掌握网络协议的工作原理
• 网络取证与安全调查