Wireshark教程网络监测文档格式.docx
《Wireshark教程网络监测文档格式.docx》由会员分享,可在线阅读,更多相关《Wireshark教程网络监测文档格式.docx(24页珍藏版)》请在冰豆网上搜索。
通过查看每一封包流向及其内容,用来检查网络的工作情况,或是用来发现网络程序的bugs。
Wireshark是一个开放源码的网络分析系统,也是是目前最好的开放源码的网络协议分析器,支持UnixLinux和Windows平台。
由于Wireshark是OpenSource,更新快,支持的协议多,特别是数据包过滤功能灵活强大。
Wireshark提供了对TCP、UDP、SMB、telnet和ftp等常用协议的支持。
它在很多情况下可以代替价格昂贵的Sniffer。
安装好后,双击桌面上的Wireshark图标,运行软件。
再捕捉数据包之前,首先要对捕获的条件进行设置。
点击工具栏里的“Captureà
Options”,(图一)或者直接点击快捷按钮(图二),打开选项设置页面(图三)。
首先,我们要在Interface里选择正确的捕获接口,即要进行报文捕获的网卡。
Wireshark支持无线WLAN的相关协议,具体设置如下:
下面是一些常用设置项的解释:
Interface:
选择捕获接口
Capturepacketsinpromiscuousmode:
表示是否打开混杂模式,打开即捕获所有的报文
Limiteachpacket:
表示限制每个报文的大小,缺省情况不限制。
CaptureFilter:
过滤器,只抓取满足过滤规则的包。
(可暂时略过)
Capturefiles:
即捕获数据包的保存的文件名以及保存位置。
其他的选项按照图三的设置即可。
CaptureOption确认选择后,点击ok就开始进行抓包。
下面的界面会以协议的不同,统计捕获到报文各占的百分比,此时,点击stop即可以停止抓包。
当然,如果不想每次打开Wireshark都重复上述CaptureOption的设置,我们也有很好的办法。
在“Edità
Preferencesà
Capture和NameResolution”里预先做好网卡和其他选项的设置
做好预设之后,在每次打开Wireshark,直接点击工具栏的开始按钮,就可以开始抓包了。
本期向大家介绍了Wireshark的简单原理,软件特色,Wireshark的安装和使用设置。
通过本期的介绍,大家已经可以使用Wireshark捕获数据包了。
在下期,我们将向大家介绍Wireshark最有特色并且强大的数据包过滤功能,通过过滤,从而有的放矢的得到我们希望得到的数据包.
Wireshark下面的语句
首先打开软件开始抓包,步骤都不多说了,菜单栏里面有一个Statistics,下拉菜单里面有个Summary和一个IOGraphs,如图:
图一(Statistics菜单--Wireshark)
Summary里面用数据说明抓到的平均流量是多少,而IOGraphs用图形表示了你抓数据的流量:
图二(Summary--Wireshark)
图三(IOGraphs--Wireshark)
Summary里面有两个filter,一个是捕捉的,一个是显示的,建议你在查看流量的时候先定义captureFilter,这样显示出来的就是你需要抓的流量的汇总信息。
需要注意的是,这个地方无法实时更新,也就是说,如果你抓包没停下的话,每次打开Summary得到的数据都不一样。
IOGraphs里面可以实时显示你抓的流量的图形,你也可以自己定义一些参数,用这个的话,可以不定义captureFilter,而直接在图形里面选择Filter,或者直接将过滤表达式写到Filter后面那一栏里面,也可以显示你需要的流量。
不过缺点是,只有图,鼠标放上去没有数字显示,也就是说,你没有办法知道具体某个时间点的流量。
图四(file定义窗口--Wireshark)
用WireShark观察网络流量
CaptureOption对话框
1、Interface(接口)和Link-layerheadertype(链路层头部)类型选项
2、LimiteachpackettoNbytes(将每个分组限制在N个字节以内)
3、Capturepacketsinpromiscuousmode(在混杂模式下捕获分组)
4、Filter(过滤器)
5、Capturefiles(捕获文件)
6、DisplayOptions(显示选项)
7、StopCapture(停止捕获)
8、Nameresolution(名字解析)
帧层(Frame)
在帧层(Frame),Wireshark记录真实的捕获时间、第一个分组与前一个分组的相对时间增量、帧序号、分组长度以及捕获长度。
以太网帧层
以太网的首部占用14字节,6字节目的地址和6字节源地址,2字节表示类型。
例如:
以太网的类型为(0800)。
IP层
传输层
TCP头部是20个字节。
2个字节源端口和目的端口。
4字节的序列号,4字节确认号。
1个字节的数据偏移和标记。
2个字节的窗口大小,2个字节的校验和,2个字节的紧急指针。
源端口:
指定了发送端的端口
目的端口:
指定了接受端的端口号
序号:
指明了段在即将传输的段序列中的位置
确认号:
规定成功收到段的序列号,确认序号包含发送确认的一端所期望收到的下一个序号
TCP偏移量:
指定了段头的长度。
段头的长度取决与段头选项字段中设置的选项
保留:
指定了一个保留字段,以备将来使用
标志:
SYN、ACK、PSH、RST、URG、FIN
SYN:
表示同步
ACK:
表示确认
PSH:
表示尽快的将数据送往接收进程
RST:
表示复位连接
URG:
表示紧急指针
FIN:
表示发送方完成数据发送
窗口:
指定关于发送端能传输的下一段的大小的指令
校验和:
校验和包含TCP段头和数据部分,用来校验段头和数据部分的可靠性
紧急:
指明段中包含紧急信息,只有当URG标志置1时紧急指针才有效
选项:
指定了公认的段大小,时间戳,选项字段的末端,以及指定了选项字段的边界选项
Packetlist和Detail面版控制可以通过快捷键进行
快捷键
描述
Tab,Shift+Tab
在两个项目间移动,例如从一个包列表移动到下一个
Down
移动到下一个包或者下一个详情
Up
移动到上一个包或者上一个详情
Ctrl-Down,F8
移动到下一个包,即使焦点不在Packetlist面版
Ctrl-UP,F7
移动到前一个报文,即使焦点不在Packetlist面版
Left
在PactectDetail面版,关闭被选择的详情树状分支。
如果以关闭,则返回到父分支。
Right
在PacketDetail面版,打开被选择的树状分支.
Backspace
PacketDetail面版,返回到被选择的节点的父节点
Return,Enter
PacketDetail面版,固定被选择树项目。
另外,在主窗口键入任何字符都会填充到filter里面
4.1."
File"
菜单
菜单项
Open...
Ctr+O
显示打开文件对话框,让您載入捕捉文件用以浏览。
OpenRecent
弹出一个子菜单显示最近打开过的文件供选择
Merg
显示合并捕捉文件的对话框。
让您选择一个文件和当前打开的文件合并
CloseCtrl+W
关闭当前捕捉文件,如果您未保存,系统将提示您是否保存(如果您预设了禁止提示保存,将不会提示)
Save
Crl+S
保存当前捕捉文件,如果您没有设置默认的保存文件名,Wireshark出现提示您保存文件的对话框。
详情
注意如果您已经保存文件,该选项会是灰色不可选的。
注意您不能保存动态捕捉的文件。
您必须结束捕捉以后才能进行保存
SaveAs
Shift+Ctrl+S
让您将当前文件保存为另外一个文件面,将会出现一个另存为的对话框
FileSet>
ListFiles
允许您显示文件集合的列表。
将会弹出一个对话框显示已打开文件
的列表,
NextFile
如果当前載入文件是文件集合的一部分,将会跳转到下一个文件。
如果不是,将会跳转到最后一个文件。
这个文件选项将会是灰色
Fileset>
PreviousFiles
如果当前文件是文件集合的一部分,将会调到它所在位置的前一个文件。
如果不是则跳到文件集合的第一个文件,同时变成灰色。
Export>
as“PlainText”File…
这个菜单允许您将捕捉文件中所有的或者部分的包导出为plainASCIItext格式。
它将会弹出一个Wireshark导出对话框
Export>
as"
PostScript"
Files
将捕捉文件的全部或部分导出为PostScrit文件。
将会出现导出文件对话框。
as"
CVS"
(Comma
SeparatedValuesPacket
Summary)File...
导出文件全部或部分摘要为.cvs格式(可用在电子表格中)。
将会弹出导出对话框
as“PSML”File…
导出文件的全部或部分为PSML格式(包摘要标记语言)XML文件。
将会弹出导出文件对话框。
Exportas"
PDML"
File...
导出文件的全部或部分为PDML(包摘要标记语言)格式的XML文件。
将会弹出一个导出文件对话框,
SelectedPacketBytes…
导出当前在