wireshark抓包應(yīng)用指導(dǎo)說明書

1、個人收集整理僅供參考學(xué)習(xí)杭州迪普科技有限公司wireshark抓包應(yīng)用指導(dǎo)說明書擬制雷振華日期2015410評審人日期簽發(fā)日期修訂記錄日期修訂版本描述作者2015.4.10V1.0初稿完成雷振華目錄1 WIRESHARK介紹 3B5E2RGBCAP2功能介紹3P1EANQFDPW3圖形界面抓報文 3 DXDITA9E3D3.1選擇網(wǎng)卡抓報文 3RTCRPUDGIT3.2顯示報文抓取時間 55PCZVD7HXA3.3 WIRESHARK界 面布局 6JLBHRNAILG3.4報文過濾條件 7XHAQX74J0X3.4.1常用過濾條件8LDAYTRYKFE3.4.2 WIRESHARK EXPRE

2、SSIONZZ6ZB2LTK3.4.3高級過濾條件9DVZFVKWMI13.4.4 WIRESHARK CAPTURE FILTERRQYN14ZNXI4命令行抓報文 13EMXVXOTOCO4.1 選擇網(wǎng)卡 13SIXE2YXPQ54.2命令行過濾條件 156EWMYIRQFL4.3常用過濾條件 15KAVU42VRUS5批量轉(zhuǎn)換報文格式16Y6V3ALOS891 Wireshark 介紹Wireshark是開源網(wǎng)絡(luò)包分析工具，支持 Windows/Linux/Unix環(huán)境.網(wǎng)絡(luò)包分析工具地主要 作用是嘗試捕獲網(wǎng)絡(luò)包，并嘗試顯示包地盡可能詳細(xì)地情況.可以從網(wǎng)站下載最新版本地Wireshark

3、 (/download.html . Wireshark 通常在 4-8 周內(nèi)發(fā)布一次新版本M2ub6vSTnP2 功能介紹Wireshark支持圖形和命令行兩種抓報文方式3 圖形界面抓報文3.1選擇網(wǎng)卡抓報文第一步 打開 wireshark抓包軟件，點(diǎn)擊“ Capture-lntefaces,如圖 3-10YujCfmUCwThe liTehArk ietvork Actalyxcr LVirfihaclE 3.I2.D (vl. 12.fEa*.I2) |i? |X圖3-1選擇網(wǎng)卡第二步 選擇抓包地網(wǎng)卡，點(diǎn)擊” Strart “開始抓包，這樣將

4、抓取流經(jīng)此網(wǎng)卡地所有報文，并臨時保存在內(nèi)存中因此，如果持續(xù)抓包將消耗掉系統(tǒng)所有內(nèi)存如圖3-2和圖3-3eUts8ZQVRdTWt吐 Ejdt 爐w 廖 C-re 站曲工知也Iks TebtiiDn IdCb nbeinais(l. bZ, N-C-tqfalL4l Ceii I?)20 / 24圖3-2啟動抓包_h CArpt i|i iT n Ff 71 上ift世五用E*ldIP ?*. (1(w E.P J ?-Hq4 Fbd f fAAk A iT I P L J|.曲;|況氐it .i&w3 CLre 加旳工沁也1血 Tete|3frn 就也nEcindh tSj。毎虛 I碗 4 T

5、 hIb!丨回Ji ltr：v- Eapri-ixian.TLft*Sw：eT丹詢亡ilLtxjll. 1&4AJ-4U/ U1Utl 丄d g：溷!3U4WUUU，丄丄LLL 上 JL / . 1JLr4ibranoaraquery reEMnse uxiixa nd34QB Z015-M-CI6 15! 33 ： 58 504了800013192,166.2.1DN弐117 standardqiery 0x2e0 a r-rerp:/!J013-lM-aJIKJQQQID, 23.7/1130N5150 Standardqwry response Qx7cQ Mo341D

6、 2015-04=06 15:35:Efi-SI321100011192.168.21DNE102 Etandar dquery 05221 A http:/l!3411. 2Q15-L4-06 15；333 58. 5173600DD192.168u2.110. 21.?H3DNE177 standardjuery reEponse 0x5221 ndM12 2Q15-4M-CI6 15 !：33： SS. 5185Z3QQD1Q.23.7.U3192-163.2.1DN117 StandardCMary Ox&cde a ipsZ/l!jW13 201S- 口門 inte

7、rface 0+ ETh&rwr ii 8 etc 00t24 jaesff jfcjad TimeDisplay Format-Date and Time of Day”，如圖 3-4 和圖 3-5sQsAEJkW5T口c Feiih7a r kh-Jim r k IF I. ?fI(v 1.1?. 口fl p4 Fvibd 刊 F r, iih ( r I P I. ?)回岡Qp CaptLre 力討詐Tetettrai LdOfa nten btlpM.T耐訶X2059 2MOD 22DfcL :2D62 Z2063 2Z0&* 4 D6S : 2066 2ZQ67 i軀22D6& :2

8、D7D 2Z071 2；Q72 2 im :Man Tocfajr# TcdbanMBfSK TOOtBf* Status & Pddcet Rt# Packet Bytes!_:/cch a nrrp:/： eawho has io.23.12-ill? Tell 10.23 機(jī)iWh h4S 10P23,15, Telltid Who h*5 62.1.1.&e? Tall &2.1.1.UCtTi+Ah+1 Soom mOfl0, nxjmcClrh-蟲 ycrmslcui+-E3 fteaEB 1 CdknTTB心1用bcphfjrod f dumrslEaprd SiibrEE5曰

9、prdH伽i4WCtrkLrftCotarize ConMersatoiIFReset Ccrtomg 1-1DCtrt4-5iMO9翟 AomgRutoi.Shcrw R曲 1； h Mvw 巴皿苗臧兇CtihfiWarn fljescitcn寸 Ccfcjrtw Pjcfcflt 1stw Ai/d Staiofl h Lqe- C156739DtHay SeconcK with hous and wxites圖3-4CbkAlti-2Ctrt+4-3Ctri4Jdt+5亡出曲1右 bkAJti-7CtdfM+792 Name query nb alb3:SO 9&4-440H PSM,

10、AC.kJ 5eql A肓 Q who 卵whs “ Wlv60 wtw60 who 直 Q whs6d Whnhas?Tell10.23.has1O.23.19P.1Z5? Tttl1 IQ, 2ih51D.22.16.WTellId.2*3.：hasID, 23.16-rell10.23.：ha5ID. 23.16.TellId.23.：hasTell16 21Jhis!S2.16a ED. 57Tell效果圖:訃4 6b4 61J 62Bl呂迅叫皿 ?iL5-C4=d6 ?O15-M-O6 ?01T-M-Cl6?d!5-l4-d6815 2015-C4-Q617：

11、?4：,750?13001 174:11- 75MS70Db17:24.1759094000 17:34 ISS.TKMIQDD 17:24:5S V3J71QQD 17!:24:E65 7a3d0bti 17：24：58.5 &2105000S16 Z0CL5-4M-CI6 17:211 S0, 5TO1290001562 2015-M-06 17!25i0-5. ?Md8i00D：00. b4 旳J4CWL?631725：Qy.H5227QDDM 2OL1-44-d4 17:25:01. &0524fiCiDb15 65 2015-C4-06 17:25105. &D5664ODOId.2

12、3.7-113IQ. 21.7.113衛(wèi)汨.92 IQ匕 3B-13XS14? id.n.7,113106. 3B.131.14 210. 21.7.11310,33/7,11322D.1S1.15.S2220-131.159210. 23.711310,23.7/1131&6.33.13114210.23,7.113L06.3SrlSL.142TCTCTCTCTCrcTCTCeo httpaooa fin, 54-|*CK54 dMKi6-rhtl：p FIH, 60 hT：rp-4Q0D6 jMZK http*400g,3 FTN,54 flM13-rhttp(AKj 創(chuàng) hrrflJOO

13、lZ ItFIH,54 JMlZ-hncrp AKACk 5q-l Ajck-1 Eeq-L Ack-2 trin-： ackJ seq-l Ack2 5eq-? Ack-2 w1n-ln ACk Scq-1 Azk -1 Tr 715tcp eqmer af a re-ass Bnbled pdu糞 Edt 如 ijc GXue 的y 跑ttfcs TetepM崔 ipct 罰斷他塵嵐1 lid Q哦巴禪団削琴iiV Eie I-I1L4EI.Cltiu5 on interface 0 Etharinrt ri, Src: ca：3-i:31 :d7:4ti:bb (cS:3:39 :d7:

14、4A:Ubi Dst: 00:?4 :i.c：flf :!M (dQ:24 :ac: vF:45: t+ intertWL PrDE&eal version Jl. ST 10-23.7.113 (10.23.7,111)4 DSti 1D6b33.181.142 106.33.181-142 th Trinsmisslo仃 Cwirrol M口m匚Z. Src Pd%: 4皿翼対皿皿人 Dsi Pwn hi：Tp (3Q)a seq: Ln Acks L, Lens 0圖3-53.3 Wireshark界面布局Wireshark界面主要分為三部分（如圖3-6）,區(qū)域一顯示抓取地報文，區(qū)域二顯

15、示選中報文地包頭詳細(xì)信息，區(qū)域三顯示選中報文地詳細(xì)信息，默認(rèn)以十六進(jìn)制顯示.GMslasNXkA齊tfi社岳?d肅只由爭d,. 1?. o(ffi. ni.a Fjahfif-du)UIH Ipdi |X I匪田 E 址 ifiw 事 CLre 切旳工 LHi如巴 Tetqcn l4d& nteruh btrfcj送 X s T A底U奴口 旳缽目Nt.TLfe*SUr cPalti.MU ml*旳憶亡!LoUl Iao2O1S L4 =06 17:25:14. 5197O0b13刖EMi Trans? P.iqiJM!5,t. qURpATH INFO,4 362015-C

16、4-06 17!253di4. &57950DDL9Zul6Su2.il13TCF6d m1i：raort-6Ji30Db131.163. J. 11TCP54 3 702d -mi erwaf t - ds AK Eeq-llJit：49922U15-L4-06 17：25i35 &D17000010. 23/7； 113172.254.1UD-10TCF-SLl-ruridD-lfl 5YN Seq-D Wlri-65 54993-04-06 17!25l3 5,?l3Cl52CiQD172.254.100.ID13TCPS6 Uri0

17、a-lrf1-JlX?i9 SYNP JKK HKj0 AC49M20L1-D4-06 17：255 3,5,?D3O3iOQOIQ. 23.7.113172,254,100,10TCP54 Mig-undD-ln ACk Seq-1 Ack-L Z4WJan-4-d6IbbOId.23.7.113175.5S4.10b. 16TCP711 TCP 5CTlEf1it 口f J rA55 QTlbl cd PDU49962rl5-04-(6 17：25i31. &143700D&10.23/7.113172-254.100.10HTTF73 post /Tunc/wb_jtia1in/|d 1

18、 s pl ay/par t a997ZUL-M-Q6 17!25B5.KL9770QD172. 254.IQS.ID13TCFea uncki-lffl-iXK19 kk孔q19 Atxj 3eq-l Ack-6B64$ 咕2 011-04-d 17:25:31.23ldbDO172. 2Si.Ida.ID1Q-23.7.LL3HTTPAMLhttpA-1ok50DD2uL5-E4-d6 17*25-3:5. &26023000ia.23-7.L13172.254.100-10TCP54 dlLX19-rurtdD-l#l Lfinb J&CK Eeq-SSbJ0Q12lQ

19、15-4M-0 17! 25i3：5.927Q0D172. 254.UQ. 1013TCPea unda-lrti-iXK19 finp wzk =sq刊e mrmi E J T riA 1 nrm n . I I n1 嚴(yán) r1 Urr UdT A.- L- Tri ! 乂Jfi：甘 U i LS-J |/-L J L tfSTilkAr： Les-v Expri-Txtan. . Cli-u- Ajp?;- nrtt ri djrne 呻m a + Ftherrwt II, Src： cB;3j-3l:d7;4 :hh 口匚曲舞二沾:曲；4 機(jī)bR. Ost; (IQ：

20、W ： 3C; f ：-4 W (0Q：24;45-ge)r mt cr net Protcrfd! Version JI, ErC LD.23.7.113 (Id. 2 3. 7.113J, Dst: 172.25J . LDD.ld C172.254 . LbD.ld s Transmission cwirrol prarocDL sre porr s 4OQIS (40Cd-B)e dst fdctj undD-lti (52E1|. seq: 1). *ck: 1, le“：5oure Port:40015 (40019) DCitiniflon Pgrt: unda-lm 0231)

21、 rSt ream Index : 11 tcf segrtieni: ten: 661J Sequence nurtKr: 1 Ntxt ?equtncs Ack now! ednmt Heacier l電ngch:1 aoooDtxa 1Q0D - Flags： QxOLB tPiM, MkJ巾古粗 slzt value； 45535iCd.lculAled winder# size: 6SS35 wiftefcw size scaling factor! 1J t chertsum: Dk矽correciUrgent pglnfter QCrelanlue sequence nurtHr

22、)nunbR：已*2(relative svquncfl nuriwrnunbeir 1 (relj.tfve ack hut七亡廠)20 bytes區(qū)域二tcp secrtieni: ciata ;661 bvies1)!ro- / .- 2 2 6 4 f J F D L - M J T 7 ft 4 n- .1 - _J T- iz7Q i e _aa7 -J?0-sd6 337o 霧賈谿653l d 4 CJ- 3 #JJ.9m-ri V- 3 fl- & A 1- 6 3 2 oS1QQ.LO ：5Z31. intnt-L ififlth：區(qū)城三3 SEQ/ACK analysis

23、jf 4 dart segrE usafl nEseffW 描 ai I” packeu 535S 上問；丄 U召定 1飯) “ Prgffe; DeFadt圖3-6功能說明區(qū)域一顯示抓取地報文區(qū)域二顯示選中報文地包頭詳細(xì)信息區(qū)域三顯示選中報文地詳細(xì)信息，默認(rèn)以十六進(jìn)制顯示Packets抓取地所有報文計(jì)數(shù)Displayed滿足過濾條件地報文計(jì)數(shù)表1-23.4報文過濾條件Wireshark能夠根據(jù)應(yīng)用地需要設(shè)置靈活方便地過濾條件，迅速篩選出符合條件地報文Wireshark地Filter過濾能夠自動檢測語法合法性，如果過濾條件設(shè)置正確，則Filter輸入框?yàn)榫G色，如果過濾條件設(shè)置錯誤，則Filte

24、r輸入框?yàn)榧t色.如圖3-7TlrRGchYzg|木覽直廣 丁|V 1 F H Mil H rk. HJJLI (vl. 3?.1 A. TfauWEE(K吐問逍fiw 3由由正TWjhwt ladi1兩座 tbijO孫心才Q 1 (i FI it 3T:i lbr： Lc; L ( beIe=Jv| ExpmxLn,Ela u*A S irv-aH*._ TLi*_SUf e吆豈也鏗_Tf討4比.LtfifCh. f _ A-15 2ttL5-04-06i 站 9 201-04-06 他 EQU&4-M 4&1恥2 2015-C4-06 813 Z01?-04-06丄7：24 jSl-2&25

25、10DD 17：24：f5. 75011900017：24；ST.7543S7DDP17:24 :M.75Sd94ODD 17:241-762001000 17! 23 56.573271DDD10.23B7；11322O.1B1.1S9.92514 ECQJ-W-g 17;?4: .573309000 L5 2015-&4-d6 17:24:56. SftdidSbbD 816 2015-C4-06 17:24 3 18. 5&CH2500D10.23.7/1131G23.7.11322Q.lSl.i59.92106. 3B.iai.U2IS 2翼九LU106. 3 8-131.142LO.

26、23.7.L13106a 33.-181,142 10. 23.7.113 720,191.19,9? 22D.1S1.19&.42 10- 23.7.H310. 23.7.113 1Q&- 3&rlLS1.142ID. 23-7.113 106.38.1EL.142103 B 2015-M-06 1103?17；?5：QQ. 54403-000Q, 23.7,. 111Q&. 381563 2ttL!5d4“i 17*25:01. M52276DD La&i 2011-04-06 17:25205.SD5248OOD 15 65 201?-01-06 17：253Oli, 5056000 ?

27、QllM404 i7；55：Ql, 57MOOD I C ? hAH Aii / H T s h F - AiC KAT-I PA赳h17J. 254 100.161O.23.7.LL3LO.23.7PLL3(fin. FIN. ACK FIM, C：K) FTM. *=KJ FIM, AKTCPlni-44KldJ-rhl：T：p33.131.1TCPTCPTCPTCP*K0-http 4Md6http hcrp-4DD&6 hi：i：p-4OKL3 *W13-http http-4DD12 4ick-lAk feq-1 *ckl eq-L Acfc-j win-；ACK Eeq-1 Ack

28、-2 seq2 acK-2 w1nACK SBQ-1 JkCkl q-l Acfc-JnzAj：K Eeq-1 Ack-1 seql.10.23.113L72u254.10D.lCl0 17J. 5. 10p.TCPTCPTOPHTTP6654 (KUT-rundo-lffl Lack seql Akl w 71i TCP segrafir of a re-ass entiled PBu：7 PQ5T /Func/wah_ma 1 n/di $ pl gy/port a jA 亠二厶 1 一1T 亠al. UUe KKAd圖3-73.4.1常用過濾條件功能說明ip.a

29、ddr=13源IP地址或目地IP地址是13 地報文ip.src=13源 IP 地址是 13ip.dst=13目地IP地址是13ip.src=13 and ip.dst=13報文源IP地址是13 且目地IP地址是81udp/tcp.port=80過濾udp或tcp源端口或目地端口是 80地報文udp/tcp.srcport=40004過濾udp或tcp源端口是40004地報文udp/tcp.dstport=80過

30、濾udp或tcp目地端口是80地報文tcp.srcport=40004 and tcp.dstport=80過濾tcp協(xié)議源端口是40004且目地端口是80地報文tcp/udp/http過濾tcp/udp/http報文tcp.flags.syn=0x02抓tcp syn 報文ip.id=0xadcd過濾ip報文id是0xadcd地報文表1-3342 Wireshark expressi on當(dāng)然，如果你對Filter過濾規(guī)則不熟悉或者不知道如何怎么寫時，可以使用wireshark地Expression,這里列出了 wireshark所支持地所有過濾協(xié)議以及過濾方式7EqzcWLZNx津地注殺

31、? (VisHMli.Hr h L. I (I (wI. 0Q4faM La Fk vh t vx1.12)_5? XJi lftr：血 rPrt=4iMiMv| Expraixi-xn1. ClatrAfpljr mM*.TLktSiireI41LLd*Ue4-a617:24 :11. 2*62 5-10DD10.33.7l.13106.281H1.142TCP4 Cd CM-http FIH, ACKsq-l Ackl 旨1D3 2O15-IM-O617：:25SOD. BUC1 咖DOHQj.23.7A13106,38,181.142TCP54TCPR.etransjfl1ss1flfl

32、4DDC4Th1：Tp FII1 _ -lr EXFfefcl nawkt Frails 1039: 54 byres w Ethernet II, 5rc： cB; f rnturrart Protoc口 1 vpr e Transmlsslsn caitrol Soure Port: 4QQCM Destination Port: h Etre-an ind&x: 1 top segrtieni: Lens 0 Sequence nurtKr: 1 Acknowledgnsnt nunb Header Length: 2D b+ aaoo 6ixhl oohl wlniSow size v

33、alue: Ca Icul 4T vd wlndi? Wi hdow Slzfe SCillr+ T1LI - TrBa.xp-3rh Adip-ar Ljqrcr Intrf bcm vl. C + TJ#S - Tft4 DlsikImt 由,科就E* JLTti- TIFA - Tra!3-i JIcckx PoldI Ace-iki PraCE-li Tiri -和出中“現(xiàn)丁血好h帥 Jiri場歸軸“i TC-1W - TvirCT 駅+ TCAF - TrKLh：tL-an C-tbi-la U 出祖止 esl F a TCP frnGL GSLn Cntr*l TirotgilEu

34、p” uJc Arlncnila-liiiE noabirniuiiro - 1陸Info tTht iKhwl tup mtlyii ECp.tTiaJ.ys j 1kfp MmJ.jru eliiaJ-yaj iWp -sniJyii ftup” uitljra i i-W旳丁肛工 uklrxLi LThix triM Ixpitri Inr- Tlu ELTT It H th*fe止1N_F Tlu i a & ATE, I byUi：_in_flichl; - Byt” an fl zit-i_Kk - Iipl i c&L iCS.=.chBcksiftiE DtJtCifijcdT

35、ireEFbaKlk; Filtbe ExpceEion FzcfHe : Default圖3-83.4.3高級過濾條件上述地過濾條件都是wireshark內(nèi)置地，主要是根據(jù)已知地包頭字段內(nèi)容過濾.同時wireshark也支持根據(jù)報文負(fù)載內(nèi)部過濾.izq7iGfO2E項(xiàng)目說明tcp/udpoffset:n從tcp或udp偏移指定字節(jié)后，命中指定n個 字節(jié)地內(nèi)容tcp20:8表示從20開始，取8個字節(jié)udp8:3表示從8開始，取3個字節(jié)udp8:3=81:60:03不可以寫為 udp8:3=816003表1-4根據(jù)負(fù)載單字節(jié)過濾，如圖3-9ec170170030MBe Oa00 GO003000

36、400050006000700080009QOOaO ooboOOcOOChJ.j ooeo004000500060007000800090OOaOooboOOcOOChJ.jooeo555f227B 070QO780Q70OO7B000000f5f500dfOO00000000000000GOOQ000000000000000000QOGODOQOQODOQO0007002b320020000000OQ00QQ00GODOOCococoqOCococOioc圖3-9根據(jù)udp負(fù)載過濾雙字節(jié)，如圖3-10皐覽心七 E* 換土 “d U時 U0.Z3.T USE【1業(yè)址*. I*誌iEM 衍電B

37、EJul-a Ebl yi.wi Ciplur*in T-il-if-hEtif I,ev1s口 Jm Hal;0 J & n X IT* 屯著丄畫石 GlGLCialWITllHIFillir dLii.IS：2=A012ic |二| EjEFTiii i eu . CI-im- Ipfly SmiSUSf電.ttibf l.亡.1 LwimJk IjftJ巾107 LBJ35 ：4&. 795294 000 10-23.7.136Id.23.7.185U&P 526 source9502 DKtinacloni port! &502Ia Frae 107: 52& tKyres dh wire (4209 Slis),. 52 byes caprure (JQ6 blrs) cxi irneface 0s Ether net ii , sre; Hari2hcu_1B0t2e: 5e COOi24：ajE：Fd2e； 5e), u*t: Tf)-LlnkT_9t49:89騾油 g 涓 gj3 Internet PratDCol Ver s 1 on A, Ec: L&. 23.7.LZ6D=t: 1O.23.7.1B57.135)a U59F Cnagraffl Proiocal, src Pcrx