Wireshark 的抓包和分析，看这篇就够了！

Question

如题所述

Answer 1

Wireshark 是一款功能强大的网络封包分析软件，用于捕获和解析网络封包。它使用 WinPCAP 作为接口，与网卡直接交换数据报文，深受网络工程师和分析师喜爱。本文将详细介绍 Wireshark 的使用方法、过滤器的设置，以及如何分析捕获的数据包。

首先，启动 Wireshark 并选择相应的网卡进行抓包。通过菜单栏 Capture -> Option 设置网卡选项，勾选使用，点击 Start 开始抓包。执行 ping 操作，如 ping baidu.com。操作后，Wireshark 会自动捕获相关数据包。为提高分析效率，可通过过滤栏设置过滤条件，仅显示特定协议和 IP 地址的数据包。例如，使用 ip.addr == 119.75.217.26 and icmp 过滤 ICMP 数据包。

在捕获界面中，数据包列表区使用不同颜色区分协议类型，便于快速定位。Wireshark 主界面主要包括五部分：Frame、Ethernet II、Internet Protocol Version 4、Transmission Control Protocol 和 Hypertext Transfer Protocol。每一部分展示不同层级的数据包信息。

分析 TCP 包时，Wireshark 会详细显示每个字段的值。用户可以了解数据包的源地址、目的地址、序列号、确认号等关键信息。抓包和显示过滤器是 Wireshark 的两大核心功能，帮助用户根据需求筛选数据包。通过捕获过滤器设置，用户可以在抓包前确定目标协议和 IP 地址，如 ip.host 60.207.246.216 and icmp。显示过滤器则用于抓包后过滤无效数据，仅显示特定条件下的数据包。

Wireshark 的过滤器规则使用逻辑运算符和比较操作符。在抓包过滤器中，用户可以设置协议、IP、端口和逻辑运算符的组合，以捕获符合特定条件的数据包。显示过滤器同样支持这些规则，帮助用户过滤大量数据，专注于关键信息。例如，使用 ip.src == 192.168.1.104 过滤源地址为 192.168.1.104 的数据包。

Wireshark 过滤器还支持按照数据包内容进行过滤，如根据 HTTP 请求方法或数据流中的关键字进行筛选。这大大提升了分析效率，让用户能够快速定位目标数据包。

在 Wireshark 中，TCP 连接的建立通过三次握手完成：客户端发送 SYN 请求，服务端响应 SYN-ACK，最后客户端确认 ACK。Wireshark 可以捕获并显示整个过程，帮助用户理解 TCP 连接建立的机制。通过抓取 huawei.com 的 IP 数据包，用户可以查看三次握手的数据包内容，确认 HTTP 使用了 TCP 进行连接。

Wireshark 还提供了调整数据包列表中时间戳显示格式的功能，通过 View -> Time Display Format -> Date and Time of Day 菜单调整，使时间显示更符合用户需求。这些常用操作和功能，使得 Wireshark 成为网络封包分析领域的强大工具。