Wireshark入门教程
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性,平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益,请联系客服反馈,我们会尽快为您处理(人工客服工作时间:9:00-18:30)。
Tips
当使用关键字作为值时,需使用反斜杠“\”。
“ether proto \ip” (与关键字“ip”相同)。
这样写将会以IP协议作为目标。
“ip proto \icmp” (与关键字“icmp”相同)。 这样写将会以ping工具常用的icmp作为目标。 可以在“ip”或“ether”后面使用“multicast”及“broadcast”关键字。当您想 排除广播请求时,"no broadcast"就会非常有用。
Display filter
Follow TCP Stream
• 鼠标右键菜单提供的简单TCP Stream过滤方法 • 可以显示应用层数据
Follow TCP Stream
Display filter
Display filter
Follow TCP Stream
• Find • 在数据流中查找所需内容 • Save as • 以当前所选格式保存显示的数据 • Direction • 显示数据流的方向 • 双向、S to D、D to S • Filter out this stream • 显示剔除当前显示数据流的其它数据包 • Close • 关闭当前显示,返回后只显示过滤的数据包
保存数据
• 运行16进制编辑器Hexedit • 新建一个空文件 • paste- Text (Hex text) • 保存为后缀 .cer的证书文件
抓客户端证书演示
抓客户端证书演示
直接抓客户端证书演示
找到有效数据包
• Certificate,client key exchange, certificate verify, change cipher spec
察看数据包
抓客户端证书演示
找到有效数据包
• Certificate,client key exchange, certificate verify, change cipher spec
展开数据包 ,找到对于数据段
• certificate
以相应数据格式拷贝数据
• 鼠标右键- Copy - Hex stream
• 等于ip.src == 10.43.54.65 or ip.dst == 10.43.54.65
但是如果我们想看到除了10.43.54.65以外的数据包,则不能写成 ip.addr != 10.43.54.65
• 等于ip.src != 10.43.54.65 or ip.dst != 10.43.54.65
Tips
由于网桥工作在网络的第二层,所以两块物理网卡和网桥的IP地址可以 设置成和客户不同的网段地址,抓包的计算机本身不能访问客户网络, 只是作为一个二层的桥接设备。
如果让抓包计算机也能够访问客户网络,只需在网桥上设置一个能够 访问客户网络的有效IP地址即可。
抓包时可以选择任意一个物理网卡进行抓包,不能选择网桥抓包。
Display filter 语法
语 Protocol String 1 法:
例 子: String 2
Comparison operator
Value
Logical Operations
Other expression
ftp
passive
ip
==
10.2.3.4
xor
icmp.type
Display filter
启动抓包
选择抓包的网卡
定义抓包选项
网卡混杂模式
Capture packets in promiscuous mode HUB环境中有效
交换机环境中无效
• ARP欺骗 • 交换机端口镜像 • 抓包计算机双网卡桥接在客户机和交换机中 间
双网卡桥接设置
Windows Vista
• 1. 通过单击“开始”按钮,再依次单击“控制面板”、“网络和 Internet”、“网 络和共享中心”,然后单击“管理网络连接”,进入“网络连接”文件夹。 • 2. 按住Ctrl键,然后点击所有需要桥接的LAN网段。然后,右击所选择局域网连接 对象中的一个,然后点击“桥接” 。 • 3. 右键单击网桥,然后单击“属性”。 如果系统提示您输入管理员密码或进行确 认,请键入密码或提供确认。 • 4. 在选项卡的“适配器”下,选中要向网桥中添加的每个连接旁边的复选框,然后 单击“确定”。
Capture filter 语法
语法: Protocol 例子: tcp Direction dst Host(s) 10.1.1.1 Value 80
Logical Operations
and
Other expression tcp dst 10.2.2.2 3128
Capture filter
过滤表达式可以参考 http://www.tcpdump.org/tcpdump_man.html
Capture filter profile
抓包显示选项
Update list of packets in real time(实时更新抓 包列表)
Automatic scrolling in live capture (抓包的时 候自动滚动到最后一行)
例子
snmp || dns || icmp
• 显示SNMP或DNS或ICMP数据包。
ip.src != 10.1.2.3 or ip.dst != 10.4.5.6
• 显示来源不为10.1.2.3或者目的不为10.4.5.6的数据包。
ip.src != 10.1.2.3 and ip.dst != 10.4.5.6
Protocol(协议)
• 可以使用大量位于OSI模型第2至7层的协议。点击 "Expression..."按钮后,可以看到它们。 • 比如:IP,TCP,DNS,SSH。
Display filter
String1,String2(可选项)
• 协议的子类。 • 点击相关父类旁的"+"号,然后选择其子类。
Capture filter
此filter非彼filter Capture filter vs Display filter
• Capture filter 在抓包之前设置,是第一层过滤器,避免抓到大量的无 用数据包。 • Display filter在抓包后设置,是第二层过滤器,过滤规则更细,帮助迅 速准确地找到所需记录。
Display filter
Comparison operators (比较运算符)
• 可以使用8种比较运算符。
英文写法: eq ne gt C语言写法: == != > 含义: 等于 不等于 大于
lt
ge le contains
<
>= <= contains
小于
大于等于 小于等于 包含
matches
Байду номын сангаас
网桥启动后计算机不能进入休眠或睡眠状态,否则一旦网桥上的某一 个连接断开,Windows将无法恢复,只能完全断电后重启。 抓包工作完成后在网桥属性中将桥接的两个网络接口复选框钩掉,确 认后再鼠标右键网桥选择禁用,避免网桥启动状态带来的不必要的麻 烦。
Capture filter
直接输入 抓包过滤 表达式
Protocol(协议)
• 可能的值: ether、fddi、ip、arp、rarp、decnet、lat 、sca、moprc、mopdl、tcp and udp. • 如果没有特别指明是什么协议,则默认使用所有支 持的协议。
Direction(方向)
• 可能的值: src、dst、src and dst、src or dst • 如果没有特别指明来源或目的地,则默认使用 “src or dst ” 作为关键字。 • 例如,"host 10.2.2.2"与"src or dst host 10.2.2.2"是一 样的
例子
tcp dst port 3128 • 显示目的TCP端口为3128的数据包。 ip src host 10.1.1.1 • 显示来源IP地址为10.1.1.1的数据包。
host 10.1.2.3
• 显示目的或来源IP地址为10.1.2.3的数据包。 src portrange 2000-2500 • 显示来源为UDP或TCP,并且端口号在2000至2500范围内的数据包。 not imcp • 显示除了icmp以外的所有数据包。(icmp通常被ping工具使用) src host 10.7.2.12 and not dst net 10.200.0.0/16 • 显示来源IP地址为10.7.2.12,但目的地不是10.200.0.0/16的数据包。
Wireshark 使用心得
饮水思源
感谢Ethereal和 Wireshark的创建者 Gerald Combs以及为 它们的发展而做出 努力的上千名开发 人员!
下载/安装
https://www.wireshark.org/downl oad.html Winpcap
• 自动检测操作系统中已经安装的版本,建议 卸载旧版本,使用安装包中的最新版本。
Windows XP
• 1. 通过单击“开始”按钮,再依次单击“设置”、“控制面板”,打开“网络连接”。 • 2. 按住Ctrl键,然后点击所有需要桥接的LAN网段。然后,右击所选择局域网连接对象 中的一个,然后点击“桥接” 。 • 3. 右键单击网络桥,然后单击“属性”。 • 4. 在“常规”选项卡的“适配器”下,选中要向网桥中添加的每个连接旁边的复选框, 然后单击“确定”。
正确的写法应该是 ! ( ip.addr == 10.43.54.65 )
• 等于! (ip.src == 10.43.54.65 or ip.dst == 10.43.54.65)或者 ip.src != 10.43.54.65 and ip.dst != 10.43.54.65
类似的字段还有tcp.port udp.port ether.addr等等.
Hide capture info dialog (不显示捕获的数据包 的数量的统计数据)
开始抓包
Start
停止抓包
Stop
Display filter
Display filter
此filter非彼filter Capture filter vs Display filter
• Capture filter 在抓包之前设置,是第一层过滤器,避免抓到大量的无 用数据包。 • Display filter在抓包后设置,是第二层过滤器,过滤规则更细,帮助迅 速准确地找到所需记录。
matches
符合
Display filter
查找数据数 据包中包含 Ox 11:bb 的 TCP数据包
Display filter
Logical expressions(逻辑运算符)
• 可以使用4种逻辑运算符。
英文写法:
and or xor not
C语言写法:
&& || ^^ !
含义:
逻辑与 逻辑或 逻辑异或 逻辑非
Capture filter
Host(s)
• 可能的值: net、port、host、portrange • 如果没有指定此值,则默认使用“host”关键字。 • 例如,"src 10.1.1.1"与"src host 10.1.1.1"相同
Logical Operations(逻辑运算)
• 可能的值: not、and、or • 否("not")具有最高的优先级。或("or")和与("and")具有相同的优先级,运算时 从左至右进行。 • 例如, "not tcp port 3128 and tcp port 23"与"(not tcp port 3128) and tcp port 23"相同。 "not tcp port 3128 and tcp port 23"与"not (tcp port 3128 and tcp port 23)"不同。
• 显示来源不为10.1.2.3并且目的IP不为10.4.5.6的数据包。 • 来源IP:除了10.1.2.3以外任意;同时须满足,目的IP:除了10.4.5.6以外任意。
如果过滤器的语法是正确的,表达式的背景呈绿色。 如果呈红色,说明表达式有误
表达式正确
表达式错误
Tips
由于部分字段的定义存在一个字段包含多个字段的情况. 在书写表达式的 时候要特别注意其中的逻辑关系. 例如 ip.addr 这个字段包含了 ip.src 和 ip.dst 两个字段.如果我们只想要看 10.43.54.65的数据包可以这样写: ip.addr == 10.43.54.65