wireshark抓包应用指导说明书.docx
《wireshark抓包应用指导说明书.docx》由会员分享,可在线阅读,更多相关《wireshark抓包应用指导说明书.docx(18页珍藏版)》请在冰豆网上搜索。
![wireshark抓包应用指导说明书.docx](https://file1.bdocx.com/fileroot1/2022-11/30/d004f9c1-9bd4-4a6c-a920-1ef74280bff5/d004f9c1-9bd4-4a6c-a920-1ef74280bff51.gif)
wireshark抓包应用指导说明书
wireshark抓包应用指导说明书
杭州迪普科技有限公司
wireshark抓包应用指导说明书
拟制
雷振华
日期
.4.10
评审人
日期
签发
日期
修订记录
日期
修订版本
描述
作者
.4.10
V1.0
初稿完成
雷振华
1Wireshark介绍
Wireshark 是开源网络包分析工具,支持Windows/Linux/Unix环境。
网络包分析工具的主要作用是尝试捕获网络包,并尝试显示包的尽可能详细的情况。
能够从网站下载最新版本的Wireshark(。
Wireshark一般在4-8周内发布一次新版本
2功能介绍
Wireshark支持图形和命令行两种抓报文方式
3图形界面抓报文
3.1选择网卡抓报文
第一步打开wireshark抓包软件,点击“Capture-->Interfaces”,如图3-1
图3-1选择网卡
第二步选择抓包的网卡,点击”Strart“开始抓包,这样将抓取流经此网卡的所有报文,并临时保存在内存中。
因此,如果持续抓包将消耗掉系统所有内存。
如图3-2和图3-3
图3-2启动抓包
图3-3抓包界面
图标
说明
重新抓报文
停止抓报文
表1-1
3.2显示报文抓取时间
打开wireshark抓包软件,点击“View-->TimeDisplayFormat-->DateandTimeofDay”,如图3-4和图3-5
图3-4
效果图:
图3-5
3.3Wireshark界面布局
Wireshark界面主要分为三部分(如图3-6),区域一显示抓取的报文,区域二显示选中报文的包头详细信息,区域三显示选中报文的详细信息,默认以十六进制显示。
图3-6
功能
说明
区域一
显示抓取的报文
区域二
显示选中报文的包头详细信息
区域三
显示选中报文的详细信息,默认以十六进制显示
Packets
抓取的所有报文计数
Displayed
满足过滤条件的报文计数
表1-2
3.4报文过滤条件
Wireshark能够根据应用的需要设置灵活方便的过滤条件,迅速筛选出符合条件的报文。
Wireshark的Filter过滤能够自动检测语法合法性,如果过滤条件设置正确,则Filter输入框为绿色,如果过滤条件设置错误,则Filter输入框为红色。
如图3-7
图3-7
3.4.1常见过滤条件
功能
说明
ip.addr==10.23.7.113
源IP地址或目的IP地址是10.23.7.113的报文
ip.src==10.23.7.113
源IP地址是10.23.7.113
ip.dst==10.23.7.113
目的IP地址是10.23.7.113
ip.src==10.23.7.113andip.dst==10.23.7.113
报文源IP地址是10.23.7.113且目的IP地址是106.28.142.181
IPip
udp/tcp.port==80
过滤udp或tcp源端口或目的端口是80的报文
udp/tcp.srcport==40004
过滤udp或tcp源端口是40004的报文
udp/tcp.dstport==80
过滤udp或tcp目的端口是80的报文
tcp.srcport==40004andtcp.dstport==80
过滤tcp协议源端口是40004且目的端口是80的报文
tcp/udp/http
过滤tcp/udp/http报文
tcp.flags.syn==0x02
抓tcpsyn报文
ip.id==0xadcd
过滤ip报文id是0xadcd的报文
表1-3
3.4.2Wiresharkexpression
当然,如果你对Filter过滤规则不熟悉或者不知道如何怎么写时,能够使用wireshark的Expression,这里列出了wireshark所支持的所有过滤协议以及过滤方式
图3-8
3.4.3高级过滤条件
上述的过滤条件都是wireshark内置的,主要是根据已知的包头字段内容过滤。
同时wireshark也支持根据报文负载内部过滤。
项目
说明
tcp/udp[offset:
n]
从tcp或udp偏移指定字节后,命中指定n个字节的内容
tcp[20:
8]
表示从20开始,取8个字节
udp[8:
3]
表示从8开始,取3个字节
udp[8:
3]==81:
60:
03
不能够写为udp[8:
3]==816003
表1-4
根据负载单字节过滤,如图3-9
图3-9
根据udp负载过滤双字节,如图3-10
图3-10
根据tcp包头后3字节内容,如图3-11
图3-11
3.4.4Wiresharkcapturefilter
根据3.1抓报文,wireshark默认抓取所选网卡的所有报文,而且保存在内存中。
如果忘记停止抓报文,会耗尽系统内存。
我们完全能够设置wireshark只抓取满足过滤条件的报文。
图3-12
点击图中的“Options”选择,进入图3-13
图3-13
设置好过滤条件后,点击”Start“,wireshark就只抓取符合过滤条件的报文。
在”CaptureFilter“输入框内输入过滤条件。
语法正确,输入框背景显示为绿色,语法错误,输入框背景显示为红色。
请注意,此处的语法与3.4.1不相同。
功能
说明
Host10.23.7.113
源IP地址或目的IP地址是10.23.7.113的报文
host10.23.7.113andtcpport4444
源IP地址或目的IP地址是10.23.7.113的报文且tcp端口是4444的报文
udpport69
udp端口是69的报文
常见过滤条件:
表1-5
4命令行抓报文
命令行抓包能够让抓取的报文直接保存在硬盘上,这样既不用担心wireshark抓大流量报文时(例如笔记本抓1Gbps速率的报文)崩溃,又不用担心迅速耗尽系统内存的风险。
4.1选择网卡
使用cmd进入wireshark的安装目录,如图4-1
图4-1
执行dumpcap.exe-D列出所有网卡
图4-2
根据wireshark图形界面,选择你需要抓包接口ID
图4-3
4.2命令行过滤条件
Dumpcap.exe-i1-s0-B256filesize:
10000-wf:
\1.pcap-f“tcpport80”
图4-4
项目
说明
-i1
接口ID值,可使用dumpcap.exe-D查看
-s0
指定抓取报文的长度,0表示抓取报文全部长度
-B256
sizeofkernelbuffer,即系统内核缓存。
默认是2M
Filesizes:
10000
每10M一个文件保存
-wf:
\1.pcap
抓取的报文保存在F盘,文件名为1.pcap
-f“tcpport80”
抓报文的过滤条件
表1-6
4.3常见过滤条件
1、dumpcap.exe-i4-s65535-bfilesize:
100000-wF:
\radius_filter_test.pcap-f"udp[30:
4]==0x30383734"
2、dumpcap.exe-i1-s65535-B256-bfilesize:
00-wF:
\pcap1\3.pcap-f"udpport1813"
3、dumpcap.exe"-i2-s65535-B256-bfilesize:
10000-wF:
\pcacp\3.pcap-f"host182.244.157.105"
5批量转换报文格式
在我们的日常工作中排查一些局点问题,往往需要从前方局点抓一些报文在公司进行回放测试,以帮助分析和定位问题,但往往经过wireshark自动执行抓包后保存的报文格式默认是.pcapng类型,使用公司的报文回放工具SendPcap_v1.1.exe因识别不了此类格式的报文而无法进行回放,若经过手动方式将报文一个一个打开后再保存为我们能用的格式,工作量是非常大的。
这个时候我们就需要借助自动化脚本进行批量转化,大大简化工作量来达到我们的目的。
本文重点介绍经过自动化执行脚本方式来批量转化报文的方法。
按照本文介绍的方法,我们能够很轻松的实现将大批量的报文在短时间内进行转化。
步骤1、确定wireshark安装目录,如图5-1
图5-1
步骤2、操作方法:
【计算机】=>【属性】=>【高级系统设置】=>【高级】=>【环境变量】
在弹出的窗口中确认“用户变量”有没有“path”变量,如果没有则选择“新建”,在弹出的窗口中“变量名”为“path”,对应的变量值则为wireshark的安装路径。
若已经存在“path”变量,则只需要编辑“path”变量,将wireshark的安装路径作为变量值输入,注意:
若“path”变量中已存在其它变量,则需要用“;”分号将各个变量隔开。
系统变量的设置方法与用户变量的设置方法一致。
【说明】
“用户变量”与“系统变量”的区别:
用户变量只对当前用户有效,而系统变量对所有用户都生效。
因此如果需要此设置对其它用户也生效,则只需设置系统变量即可。
图5-2
图5-3
图5-4
步骤3、操作方法:
将下面的内容复制到记事本中,然后保存为.bat格式,命名为“批量转化报文格式.bat”
ifexistsubdirs.txtdelsubdirs.txt>nul
dir/d/b/a:
-d>subdirs.txt
for/f%%iin(subdirs.txt)dotshark-r%%i-Fpcap-wconverted/%%i
pause
delsubdirs.txt>nul
图5-5
步骤4、操作方法:
将上一步创立的脚本放到需要转化的报文目录下,然后新建一个文件夹并命名为“converted”,用于存放格式转化后的报文。
图5-6
步骤5、操作方法:
双击脚本“批量转化报文格式.bat”,弹出一个cmd窗口会显示脚本正在执行转化的状态,文件转化完成后会显示如下图所示文字提醒“请按任意键继续”,敲击任意键即可完成脚本执行,脚本自动退出。
图5-7
步骤6、操作方法:
脚本执行过程中会自动生成subdirs.txt,该文件内容记录的是成功完成转化的报文列表。
打开converted目录,我们就能够看到已完成格式转化的报文了。
图5-8
打开converted目录
图5-9
更多信息请访问.org