01-Wireshark教程和3个实例
wireshark抓包教程
wireshark抓包教程Wireshark是一款常用的网络分析工具，它可以用来抓取网络数据包，并对网络通信进行分析和故障排查。
本文将为大家介绍使用Wireshark进行抓包的基本步骤和注意事项。
第一步：安装Wireshark首先，你需要在Wireshark官网下载并安装最新版本的软件。
安装完成后，打开Wireshark。
第二步：配置网络接口在Wireshark界面的左上角选择合适的网络接口，比如网卡或者无线网卡接口。
一般来说，如果你的电脑只有一个网卡，这个选项将自动选择。
如果有多个网卡，可以通过点击菜单栏的"捕获"->"选项"，在弹出的对话框中选择合适的网卡接口。
第三步：开始抓包点击Wireshark界面的“开始”按钮，在弹出的对话框中选择保存抓包文件的路径和文件名。
你可以选择将数据包保存到本地文件，也可以直接在Wireshark界面中查看抓包数据。
第四步：过滤数据包Wireshark抓包时会记录所有经过网络接口的数据包，如果网络通信比较频繁，抓包文件可能会非常庞大。
为了便于分析，我们可以使用过滤器来筛选出特定的数据包。
在Wireshark界面的过滤栏中输入过滤器规则，比如可以输入"tcp"来只展示TCP数据包，或者输入IP地址来只展示与该地址相关的数据包。
第五步：停止抓包当你想要停止抓包时，可以点击Wireshark界面的“停止”按钮，或者按下快捷键Ctrl+E。
第六步：数据包分析在Wireshark界面中，你可以看到抓包数据的详细信息，包括源地址、目的地址、协议类型、数据包长度等等。
通过点击各个字段，你可以查看详细的协议解析信息。
比如，你可以查看TCP数据包的源端口、目的端口、TCP标志位等信息，或者查看HTTP数据包的请求头和响应头。
第七步：保存和导出数据包如果你需要保存抓包数据，可以点击Wireshark界面上方的“保存”按钮，将抓包数据保存为pcapng格式的文件。
wireshark使用教程
wireshark使用教程Wireshark是一款开源的网络协议分析工具，可以用于捕获和分析网络通信数据包。
下面是一个简单的Wireshark使用教程：1. 下载和安装：可以从Wireshark官网下载适用于您操作系统的安装包，并按照安装向导进行安装。
2. 启动Wireshark：安装完成后，双击桌面上的Wireshark图标启动程序。
3. 选择网络接口：Wireshark会自动弹出一个“Interface List”窗口列出可用的网络接口。
选择您要进行分析的网络接口，并点击“Start”按钮开始捕获数据包。
4. 捕获数据包：一旦开始捕获数据包，Wireshark将开始显示捕获到的数据包。
您可以在“Capture”菜单中选择“Stop”来停止捕获。
在捕获过程中，您可以使用过滤器功能来过滤展示的数据包。
5. 分析数据包：Wireshark捕获到的数据包会以表格的形式展示，每一行代表一个数据包。
您可以选择某个数据包进行详细分析，在右侧的“Packet Details”窗口中查看其详细内容。
6. 过滤数据包：Wireshark支持使用过滤器来只显示特定条件下的数据包。
在界面上方的“Filter”栏输入你要过滤的条件，并按下“Enter”即可。
例如，输入“ip.addr==192.168.0.1”将只显示与IP地址为192.168.0.1相关的数据包。
7. 分析协议：Wireshark可以解析多种常见的网络协议，您可以在“Statistics”菜单中选择“Protocol Hierarchy”来查看分析结果。
这将显示每个协议的使用情况及其占据的网络流量。
8. 导出数据包：如果您想要保存分析结果，可以使用Wireshark的导出功能。
在菜单中选择“File”->“Export Packet Dissections”来将数据包以不同的格式（如txt、csv、xml）导出至本地存储。
以上就是一个简单的Wireshark使用教程，希望能对您使用Wireshark进行网络数据包分析有所帮助。
WireShark使用培训
WireShark使用培训以下是一个关于WireShark使用培训的示例：第一部分：WireShark简介1. 什么是WireShark？- WireShark的定义和介绍- WireShark的应用领域和功能2. WireShark的特点和优势-支持多种操作系统-可以捕获和分析各种网络协议-提供丰富的统计和过滤功能第二部分：WireShark的安装和配置1. WireShark的安装-不同操作系统下的安装示例2. WireShark的基本设置-选择网络接口进行捕获-配置捕获过滤器-设置运行时环境变量第三部分：网络数据包捕获和分析1.捕获网络数据包-捕获方式的选择和配置-通过过滤器选择感兴趣的数据包2.分析网络数据包-分析和解码网络协议-观察数据包的详细信息-利用统计信息做性能分析第四部分：WireShark的高级功能和应用1.使用高级过滤器-学习和使用常见的过滤器语法-使用过滤器进行高级过滤和2.追踪TCP/IP连接-分析TCP/IP连接的建立和终止-分析TCP/IP连接的状态和性能3.检测网络攻击和威胁- 使用WireShark分析网络流量中的恶意活动- 利用WireShark进行入侵检测和防御第五部分：WireShark的实际应用案例1.故障排除- 通过WireShark分析网络故障的原因-修复和优化网络设备和应用2.网络性能优化- 使用WireShark分析网络瓶颈和优化建议-提升网络性能和用户体验3.网络安全分析- 使用WireShark检测和分析恶意软件传播-分析网络攻击和入侵事件，并采取适当措施总结：通过以上培训计划，学员将能够掌握WireShark的基本使用和高级功能，学会通过WireShark进行网络数据包捕获和分析，掌握网络故障排除、性能优化和网络安全分析等技能。
通过实际应用案例的讲解，学员将能够将所学知识应用到实际工作中，提升工作效率和质量。
Wireshark使用教程详解,带实例
Wireshark教程带实例第 1 章介绍1.1. 什么是WiresharkWireshark 是网络包分析工具。
网络包分析工具的主要作用是尝试捕获网络包，并尝试显示包的尽可能详细的情况。
你可以把网络包分析工具当成是一种用来测量有什么东西从网线上进出的测量工具，就好像使电工用来测量进入电信的电量的电度表一样。
（当然比那个更高级）过去的此类工具要么是过于昂贵，要么是属于某人私有，或者是二者兼顾。
Wireshark出现以后，这种现状得以改变。
Wireshark可能算得上是今天能使用的最好的开元网络分析软件。
1.1.1. 主要应用下面是Wireshark一些应用的举例：•网络管理员用来解决网络问题•网络安全工程师用来检测安全隐患•开发人员用来测试协议执行情况•用来学习网络协议除了上面提到的，Wireshark还可以用在其它许多场合。
1.1.2. 特性•支持UNIX和Windows平台•在接口实时捕捉包•能详细显示包的详细协议信息•可以打开/保存捕捉的包•可以导入导出其他捕捉程序支持的包数据格式•可以通过多种方式过滤包•多种方式查找包•通过过滤以多种色彩显示包•创建多种统计分析•…还有许多不管怎么说，要想真正了解它的强大，您还得使用它才行图 1.1. Wireshark捕捉包并允许您检视其内1.1.3. 捕捉多种网络接口Wireshark 可以捕捉多种网络接口类型的包，哪怕是无线局域网接口。
想了解支持的所有网络接口类型，可以在我们的网站上找到/CaptureSetup/NetworkMedia.1.1.4. 支持多种其它程序捕捉的文件Wireshark可以打开多种网络分析软件捕捉的包，详见1.1.5. 支持多格式输出Wieshark可以将捕捉文件输出为多种其他捕捉软件支持的格式，详见1.1.6. 对多种协议解码提供支持可以支持许多协议的解码(在Wireshark中可能被称为解剖)1.1.7. 开源软件Wireshark是开源软件项目，用GPL协议发行。
Wireshark使用教程详解带实例
Wireshark使用教程详解带实例Wireshark是一款开源网络分析工具，它能够捕获和分析网络流量，使用户能够深入了解网络通信过程中发生的问题和异常。
本文将详细介绍Wireshark的使用方法，并通过实例演示其在网络故障排除和网络性能优化中的应用。
一、Wireshark安装和准备工作二、捕获和过滤数据包Wireshark具有强大的过滤功能，可以根据多种条件过滤所捕获的数据包，以减少不必要的数据包显示。
在捕获界面的过滤栏中输入过滤表达式，如“ip.addr==192.168.0.1”以显示所有源或目标IP地址为192.168.0.1的数据包。
三、分析数据包1. 分析摘要面板（Summary）摘要面板显示了捕获数据包的概要信息，如协议、源和目标地址、数据包大小等。
通过查看该面板可以迅速了解网络通信中所使用的协议和各个数据包的交互情况。
2. 分层面板（Packet List）分层面板以树状结构显示了选定数据包的详细信息。
它将数据包分为各个协议层次，并展开显示每个层次的具体字段信息。
用户可以展开或折叠每个协议层次，以查看其所包含的字段详细信息。
3. 字节流面板（Bytes）字节流面板以十六进制和ASCII码显示了选定数据包的原始数据内容。
用户可以通过该面板查看数据包的详细内容，并进一步分析其中的问题。
4. 统计面板（Statistics）统计面板提供了关于捕获数据包的各种统计信息。
用户可以查看每个协议的数据包数量、平均包大小、传输速率等。
此外，Wireshark还提供了更高级的统计功能，如流量图表、分析数据包时间间隔等。
四、实例演示为了更好地说明Wireshark的使用方法，我们将以现实应用场景为例进行实例演示。
假设我们在一个企业内部网络中发现了网络延迟问题，我们希望通过Wireshark来定位问题的根源。
首先打开Wireshark并选择要监听的网络接口，然后开始捕获数据包。
在捕获过程中，我们注意到在与一些服务器的通信中出现了较长的延迟。
wireshark使用方法总结
wireshark使⽤⽅法总结Wireshark基本⽤法抓取报⽂: 下载和安装好Wireshark之后，启动Wireshark并且在接⼝列表中选择接⼝名，然后开始在此接⼝上抓包。
例如，如果想要在⽆线⽹络上抓取流量，点击⽆线接⼝。
点击Capture Options可以配置⾼级属性，但现在⽆此必要。
点击接⼝名称之后，就可以看到实时接收的报⽂。
Wireshark会捕捉系统发送和接收的每⼀个报⽂。
如果抓取的接⼝是⽆线并且选项选取的是混合模式，那么也会看到⽹络上其他报⽂。
上端⾯板每⼀⾏对应⼀个⽹络报⽂，默认显⽰报⽂接收时间（相对开始抓取的时间点），源和⽬标IP地址，使⽤协议和报⽂相关信息。
点击某⼀⾏可以在下⾯两个窗⼝看到更多信息。
“+”图标显⽰报⽂⾥⾯每⼀层的详细信息。
底端窗⼝同时以⼗六进制和ASCII码的⽅式列出报⽂内容。
需要停⽌抓取报⽂的时候，点击左上⾓的停⽌按键。
⾊彩标识: 进⾏到这⾥已经看到报⽂以绿⾊，蓝⾊，⿊⾊显⽰出来。
Wireshark通过颜⾊让各种流量的报⽂⼀⽬了然。
⽐如默认绿⾊是TCP报⽂，深蓝⾊是DNS，浅蓝是UDP，⿊⾊标识出有问题的TCP报⽂——⽐如乱序报⽂。
报⽂样本: ⽐如说你在家安装了Wireshark，但家⽤LAN环境下没有感兴趣的报⽂可供观察，那么可以去Wireshark wiki下载报⽂样本⽂件。
打开⼀个抓取⽂件相当简单，在主界⾯上点击Open并浏览⽂件即可。
也可以在Wireshark⾥保存⾃⼰的抓包⽂件并稍后打开。
过滤报⽂: 如果正在尝试分析问题，⽐如打电话的时候某⼀程序发送的报⽂，可以关闭所有其他使⽤⽹络的应⽤来减少流量。
但还是可能有⼤批报⽂需要筛选，这时要⽤到Wireshark过滤器。
最基本的⽅式就是在窗⼝顶端过滤栏输⼊并点击Apply（或按下回车）。
例如，输⼊“dns”就会只看到DNS报⽂。
输⼊的时候，Wireshark会帮助⾃动完成过滤条件。
也可以点击Analyze菜单并选择Display Filters来创建新的过滤条件。
wireshark抓包教程
wireshark抓包教程Wireshark 抓包教程：1. 下载安装 Wireshark：从官方网站下载最新版本的 Wireshark 并安装在您的计算机上。
2. 启动 Wireshark：打开 Wireshark 软件，您将看到一个主界面。
3. 选择网络接口：在 Wireshark 左上角的"捕获选项"中，选择要抓取数据包的网络接口。
如果您使用有线连接，选择相应的以太网接口；如果您使用无线网络，选择无线网卡接口。
4. 开始捕获数据包：点击"开始"按钮来开始捕获数据包。
Wireshark 将开始监听选定的网络接口上的数据传输。
5. 分析捕获的数据包：在捕获数据包的过程中，Wireshark 将显示捕获的数据包详细信息。
您可以使用过滤器来筛选显示特定协议的数据包。
6. 分析数据包内容：双击某个数据包，Wireshark 将显示详细的包内容，包括源地址、目的地址、协议类型等信息。
您还可以查看数据包的各个字段。
7. 导出数据包：如果您需要将捕获的数据包保存到本地供后续分析或分享，可以使用"文件"菜单中的"导出"选项。
8. 终止捕获数据包：点击"停止"按钮来终止捕获数据包。
停止捕获后，Wireshark 将显示捕获过程的统计信息，如捕获的数据包数量、捕获的数据包大小等。
9. 清除捕获数据包：在捕获数据包后，如果您想清空捕获的数据包列表，可以选择"捕获"菜单中的"清除列表"。
以上就是使用 Wireshark 进行抓包的基本教程。
通过分析捕获的数据包，您可以深入了解网络通信过程，并解决网络故障或安全问题。
wireshark教程
wireshark教程Wireshark教程Wireshark是一个开源的网络协议分析工具，它能够在网络中捕获数据包，并通过分析这些数据包来帮助用户了解和解决网络问题。
本文将介绍Wireshark的基本功能和使用方法，以及一些常见的应用场景。
一、Wireshark的安装首先，您需要从Wireshark官方网站（https:///）下载并安装Wireshark。
Wireshark可用于Windows、Mac和Linux操作系统。
安装完成后，您可以启动Wireshark并开始使用。
二、Wireshark的界面Wireshark的界面相对复杂，但通过了解每个区域的功能，您将能够更好地利用它。
以下是Wireshark界面的主要组成部分：1. 菜单栏：包含Wireshark的各种功能选项，例如打开文件、保存捕获的数据包等。
2. 捕获面板：用于选择要捕获的网络接口和开始/停止捕获。
3. 数据包列表：显示捕获到的数据包的详细信息，例如源IP地址、目标IP地址、协议类型等。
4. 数据包细节：显示选定数据包的详细信息，例如每个协议层的字段和值。
5. 过滤器：用于过滤数据包，以便只显示用户感兴趣的数据包。
6. 统计面板：提供网络流量统计、协议分布等信息。
7. 此外，Wireshark还提供了很多其他的工具和功能，例如实时图表、包含过滤器的自动化任务等。
三、捕获数据包使用Wireshark捕获数据包是解决网络问题和分析网络流量的首要步骤。
要捕获数据包，您可以按照以下步骤操作：1. 在捕获面板选择要监控的网络接口。
如果不确定应该选择哪个接口，可以选择“任何”。
2. 点击“开始”按钮开始捕获数据包。
3. Wireshark将立即开始捕获数据包并显示在数据包列表中。
四、分析数据包一旦您捕获到足够的数据包，您可以开始分析这些数据包以获取有用的信息。
以下是一些常见的数据包分析方法：1. 查看每个数据包的详细信息：通过双击数据包列表中的特定数据包，您可以查看分析该数据包的详细信息。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Wireshark教程一、界面二、认识数据包网络的7层次结构：物理层、数据链路层、网络层、传输层、表示层、会话层、应用层物理层数据帧概况：数据链路层以太网帧头部信息MAC地址：是网卡的物理地址前3组是表示生产厂家、后3组是厂家对网卡的编号IP地址是我们定义的，可以随便更改ARP协议就是用来对二者进行转换的互联网层IP包头部信息其它内容三、过滤器设置过滤器的区别捕捉过滤器（CaptureFilters）：用于决定将什么样的信息记录在捕捉结果中。
需要在开始捕捉前设置。
显示过滤器（DisplayFilters）：在捕捉结果中进行详细查找。
他们可以在得到捕捉结果后随意修改。
那么我应该使用哪一种过滤器呢？两种过滤器的目的是不同的。
捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。
显示过滤器是一种更为强大（复杂）的过滤器。
它允许您在日志文件中迅速准确地找到所需要的记录。
两种过滤器使用的语法是完全不同的。
显示过滤器snmp || dns || icmp//显示SNMP或DNS或ICMP封包。
ip.addr == 10.1.1.1//显示来源或目的IP地址为10.1.1.1的封包。
ip.src==172.16.1.102 //显示来源是172.16.1.102的数据包ip.src != 10.1.2.3 or ip.dst != 10.4.5.6//显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。
ip.src != 10.1.2.3 and ip.dst != 10.4.5.6 //显示来源不为10.1.2.3并且目的IP不为10.4.5.6的封包。
tcp.port == 25//显示来源或目的TCP端口号为25的封包。
tcp.dstport == 25//显示目的TCP端口号为25的封包。
tcp.flags//显示包含TCP标志的封包。
tcp.flags.syn == 0x02//显示包含TCP SYN标志的封包。
可以从上面看过滤器设置的规则通过这里的背景可以判断使用的语法是否正确：红色背景表示语法错误，绿色背景表示正确并且可以运行，黄色背景表示语法正确，但是可能没有结果。
1、使用字段名来过滤在过滤器中输入：http.request.method==”GET” ，将显示使用GET方法获取数据的所有包3、使用比较运算符4、使用端口过滤器5、根据IP地址过滤注意是两个等于符号将过滤条件改为http.request.method==”POST”http && http contains”flag”过滤一下数据分析与取证-attack1.使用Wireshark 查看并分析WindowsXP 桌面下的attack.pcapng 数据包文件，通过分析数据包attack.pcapng 找出黑客的IP 地址，并将黑客的IP 地址作为FLAG（形式：[IP 地址]）提交；答案：[172.16.1.102]分析：找到POST的数据包，发现上传了一个Q.php的文件，内容是一句话木马，所以其source就是黑客地址难点：怎样设置过滤器找到POST的包。
在过滤器中输入：http.request.method==”POST”ip.src==172.16.1.1022.继续查看数据包文件attack.pacapng，分析出黑客扫描了哪些端口，并将全部的端口作为FLAG（形式：[端口名1，端口名2，端口名3…，端口名n]）从低到高提交；解题思路：一般的扫描行为，是以ARP广播包的方式去探测网络中有哪些主机是处于开机状态。
扫描行为是扫描一个网段中所有的IP地址，因此就会向该网段中所有的IP地址发送ARP广播包，包括没有主机使用的IP地址。
当检测到某一个IP所对应的主机是开机状态后，就会进一步对该主机进行端口探测，以获知该主机哪些端口是开放的，哪些端口有漏洞存在。
使用过滤只显示source是黑客地址并且使用TCP的包：ip.src==172.16.1.102 and tcp参考答案：21,23,80,445,3389,5007端口解析：21是FTP（文件传输）协议代理服务器常用端口号；23 是Telnet（远程登录）协议代理服务器常用端口号80是浏览器网页使用的端口。
HTTP协议代理服务器常用端口号：80/8080/3128/8081/9098WIN2003远程登录，默认端口号为3389。
445端口是使用共享文件夹的端口Microsoft-DS5007是wsm服务器ssl：wsm(web-based system manager)是基于web的系统管理程序,它是一个客户-服务器方式的图形化程序.它的图形界面可以使用户管理本地系统和远程系统3.继续查看数据包文件attack.pacapng 分析出黑客最终获得的用户名是什么，并将用户名作为FLAG（形式：[用户名]）提交；解题思路：可使用过滤器：ip.src==172.16.1.102 and http 找到login.php，这是黑客登录时使用的页面。
或者使用过滤器：http contains "username" and ip.addr=172.16.1.102参考答案：Lancelot4.继续查看数据包文件attack.pacapng 分析出黑客最终获得的密码是什么，并将密码作为FLAG（形式：[密码]）提交；参考答案：123698745.继续查看数据包文件attack.pacapng 分析出黑客连接一句话木马的密码是什么，并将一句话密码作为FLAG（形式：[一句话密码]）提交；解题思路：在wireshark中筛选HTTP的数据包，找到一个比较可疑的访问,如图~~~ (可以看出Q.php有很大可疑是木马,双击打开数据包一探究竟)由此得知，题1中需要找的黑客IP就是172.16.1.102 。
可使用过滤器：ip.src==172.16.1.102 and http答案：[alpha]疑问：会不会是本题的另一种解法：直接用记事本打开数据包文件，查找POST。
6.继续查看数据包文件attack.pacapng 分析出黑客下载了什么文件，并将文件名及后缀作为FLAG（形式：[文件名.后缀名]）提交；解题思路：对题5 找到的3个POST类型的数据包一个一个打开看看打开第二个数据包，发现有一个flag.zip的文件,那么究竟是不是这个文件呢,继续看下一个数据包打开第三个数据包,可以看出,是下载了flag.zip。
PK是ZIP文件的头部应该没记错答案：flag.zip7.继续查看数据包文件attack.pacapng 提取出黑客下载的文件，并将文件里面的内容为FLAG（形式：[文件内容]）提交；解题思路：使用winhex还原压缩包。
或者使用binwalk进行分离，会分离出来一个flag.txt，将内容提交下载的文件，流向应该是从服务器到黑客的ip地址。
ip.src==172.16.1.101 and ip.dst==172.16.1.102 and http答案：flag{Manners maketh man}知识点：查看下载的文件中是否包含其他文件的时候一般都需要kali里面的一个工具binwalk -e attack.pacapng 直接执行" binwalk 所要查看的文件的路径" ，得到文件中包含的其他文件的信息；然后执行“binwalk -e 文件路径”，得到分离后的文件。
（与原文件在同一目录下）Wireshark数据包分析-capture3（100分）1. 使用Wireshark查看并分析PYsystem20191桌面下的capture3.pcap数据包文件，找出黑客登录被攻击服务器网站后台使用的账号密码，并将黑客使用的账号密码作为Flag值（用户名与密码之间以英文逗号分隔，例如：root,toor）提交；（9分）解题思路：黑客必须使用登录页面（类似login.php）的网页文件登录后台，所以使用http过滤，查找登录页面，注意，登录失败failure的不算；看登录后成功success的才可以。
Flag: admin,2. 继续分析数据包capture3.pcap，找出黑客攻击FTP服务器后获取到的三个文件，并将获取到的三个文件名称作为Flag值（提交时按照文件下载的时间的先后顺序排序，使用/分隔，例如：a/b/c）提交；（17分）解题：过滤器：ftp思路：看到有3个txt文件，且后面有个包显示“Transfer complete”LDWpassword.txt/py-jiaoyi.txt/aliyunPassword.txt3. 继续分析数据包capture3.pcap，找出黑客登录服务器后台上传的一句话木马，并将上传前的一句话木马的文件名称作为Flag值（例如：muma）提交；（13分）这题还是可以用记事本打开，查找POST可以看到，一句话木马的密码为：Cknife ，文件名称是trojan.php还有这句话：trojan.php Upload Success。
上传成功4. 继续分析数据包capture3.pcap，找出黑客上传的一句话木马的连接密码，并将一句话木马的连接密码作为Flag 值（例如：abc123）提交；（13分）5. 继续分析数据包capture3.pcap，找出黑客上传一句话木马后下载的服务器关键文件，并将下载的关键文件名称作为Flag值提交；（15分）不会？使用http过滤，查看上传完木马后的数据包，将z1的值就行base64解密这几个包应该都是下载这个文件的，最后的一个包显示了数据。
6. 继续分析数据包capture3.pcap，找出黑客第二次上传的木马文件，并将该木马文件的连接密码作为Flag值（例如：abc123）提交；（11分）使用http过滤，查找可疑的POST或GET的数据。
发现这次是GET方式提交的密码Flag: adminPHP7. 继续分析数据包capture3.pcap，找出黑客通过木马使用的第一条命令，并将该命令作为Flag值提交；（9分）不会？下面发现两个200 OK的包，第一个显示的数据应该是netstat -an显示的结果第二个应该是ping 命令：ping 192.168.13.128没有找到执行命令的语句，只看到结果第一次上传完木马后也有几个结果，200 OK应该是把木马上传到这个目录了，下面有一个dir的命令显示应该是黑客查看了一下木马文件是否在这个目录中所以，这题的参考答案是：netstat -an或者ping或者dir8.继续分析数据包capture3.pcap，找出黑客控制了受害服务器后通过受害服务器向自己发送了多少次ICMP请求，并将请求的次数作为Flag值提交。