Wireshark抓包qq分析

1、Wireshark抓包qq分析1.準(zhǔn)備工作：打開Wireshark軟件，登錄qq。2.選擇抓包，打開qq與網(wǎng)友聊天，過一會(huì)停止抓包。可以看到Wireshark的主窗口如下，它由3個(gè)面板組成，從上到下依次是packet list(數(shù)據(jù)包列表)、packet details（數(shù)據(jù)包細(xì)節(jié)）和packet bytes（數(shù)據(jù)包字節(jié)）。3.輸入oicq進(jìn)行篩選（oicq就是QQ的意思）可以看出源地址是183.60.19.41；目標(biāo)地址是10.66.49.67。4.如果希望在packet details面板中查看一個(gè)單獨(dú)的數(shù)據(jù)包的內(nèi)容，必須先在packet list面板中單擊選中那個(gè)數(shù)據(jù)包，就可以在pack

2、et details面板中選中數(shù)據(jù)包的某個(gè)字段，從而在packet bytes面板中查看相應(yīng)字段的字節(jié)信息。這里我選擇序號(hào)為699的數(shù)據(jù)包，雙擊鼠標(biāo)查看數(shù)據(jù)5. 具體分析（1） 數(shù)據(jù)鏈路層（以太網(wǎng)）可以看出該路由器的廠商在Hangzhou（杭州）；該數(shù)據(jù)包的目標(biāo)地址是50:46:5d:98:8a:2d，這是一個(gè)以太網(wǎng)的廣播地址，所有發(fā)送到這個(gè)地址的數(shù)據(jù)都會(huì)被廣播到當(dāng)前網(wǎng)段中的所有設(shè)備；這個(gè)數(shù)據(jù)包中以太網(wǎng)頭的源地址00:23:89:80:e3:00就是我們的MAC地址。（2） 網(wǎng)絡(luò)層（互聯(lián)網(wǎng)協(xié)議）可以看到IP的版本號(hào)為4；IP頭的長(zhǎng)度是20字節(jié)；首部和載荷的總長(zhǎng)度是75字節(jié)（0x004b），00

3、在前，4b在后，說明進(jìn)行網(wǎng)絡(luò)傳輸?shù)臅r(shí)候是先傳輸高位再傳輸?shù)臀?即高字節(jié)數(shù)據(jù)在低地址，低字節(jié)數(shù)據(jù)在高地址；并且TTL（存活時(shí)間）域的值是52；還可以看出一臺(tái)IP地址為183.60.19.41的設(shè)備將一個(gè)ICMP請(qǐng)求發(fā)向了地址為10.66.49.67的設(shè)備，這個(gè)原始的捕獲文件是在源主機(jī)183.60.19.41上被創(chuàng)建的。（3） 運(yùn)輸層（用戶數(shù)據(jù)報(bào)協(xié)議UDP）可以看出源端口是irdmi(8000),這在國(guó)內(nèi)主要是QQ使用的端口號(hào)（irdmi表示為QQ聊天軟件）；目標(biāo)端口是53027；數(shù)據(jù)包字節(jié)長(zhǎng)度為55字節(jié)；檢驗(yàn)和顯示為驗(yàn)證禁用，不能驗(yàn)證。（4）單擊OICQ-IMsoftware可以看到自己登錄的QQ號(hào)碼925495994。（5）查看傳輸數(shù)據(jù)點(diǎn)鼠標(biāo)右鍵，點(diǎn)“followUDPstream