概述

1. 数据包捕获：捕获通过网络接口的所有数据包，并以人类可读的方式显示。

2. 协议解析：支持数百种网络协议的解析，包括 TCP/IP、HTTP、DNS、SSL/TLS 等。

3. 数据过滤：可以设置捕获或显示过滤器，精确定位特定的流量或数据包。

4. 实时监控和分析：能够实时查看网络流量，也可以保存捕获的数据供以后分析。

5. 图形化界面：提供易于使用的图形界面，方便可视化查看和分析网络流量。

常见协议

• ARP协议ARP（Address Resolution Protocol，地址解析协议）是一种用于在IP网络中解析网络层地址（IP 地址）到链路层地址（MAC 地址）的协议。

• ICMP协议ICMP（互联网控制消息协议）是用来在网络设备之间发送控制消息的协议，主要用于诊断和报告网络错误。最常见的应用就是 ping 命令，它通过ICMP发送请求，检测目标设备是否在线以及网络延迟如何。如果网络出错，ICMP会反馈错误信息，但它不传输实际数据。

• TCP协议TCP（传输控制协议）是一种可靠的、面向连接的通信协议，确保数据在网络上完整无误地传输。它通过三次握手建立连接，并对传输的数据包进行编号和确认，确保接收方按顺序收到数据。如果有丢包或错误，TCP会自动重传。常用于网页浏览、文件传输等需要高可靠性的网络应用。

• UDP协议UDP（用户数据报协议）是一种简单、快速的通信协议，它不建立连接，也不保证数据的可靠传输或顺序。UDP直接将数据包发送给目标，不会确认是否收到，因此它更快但不可靠。常用于实时应用，如视频直播、在线游戏、语音通话等，数据丢失几率较小且速度更重要的场景。

• DNS协议DNS（域名系统协议）是用来将域名转换为IP地址的协议，因为计算机通过IP地址通信，而人类更习惯使用域名。DNS相当于互联网的“电话簿”，当你在浏览器中输入域名时，DNS会帮助找到相应的服务器IP，从而建立连接。

• HTTP协议HTTP（超文本传输协议）是用于在网络上传输网页数据的协议，浏览器和服务器通过它交换信息。它是无状态的、面向请求-响应的协议，客户端（通常是浏览器）发送请求，服务器响应请求并返回网页、图片或视频等内容。HTTP常用于网页浏览（如输入网址加载网页），它的更安全版本是HTTPS，增加了加密保护数据传输的安全性。

下载及安装

Wireshark 界面

• 通过ipconfig查询

• 选择相应的网卡双击点进入，就可以看到很多的数据包

界面主要分为以下几部分：

• 菜单栏：Wireshark的标准菜单栏。

• 工具栏：常用功能的快捷图标按钮，提供快速访问菜单中经常用到的项目的功能。

• 过滤器：提供处理当前显示过滤得方法。

• Packet List面板：显示每个数据帧的摘要。这里采用表格的形式列出了当前捕获文件中的所有数据包，其中包括了数据包序号、数据包捕获的相对时间、数据包的源地址和目标地址、数据包的协议以及在数据包中找到的概况信息等。

• Packet Details面板：分析数据包的详细信息。这个面板分层次地显示了一个数据包中的内容，并且可以通过展开或是收缩来显示这个数据包中所捕获的全部内容。

• Packet Bytes面板：以十六进制和ASCII码的形式显示数据包的内容。这里显 示了一个数据包未经处理的原始样子，也就是在链路上传播时的样子。

• 状态栏：包含有专家信息、注释、包的数量和Profile。

在数据包列表中选择指定数据包，在数据包详细信息中会显示数据包的所有详细信息内容。数据包详细信息面板是最重要的，用来查看协议中的每一个字段。各行信息分别为

（1）Frame: 物理层的数据帧概况

（2）Ethernet II: 数据链路层以太网帧头部信息

（3）Internet Protocol Version 4: 互联网层IP包头部信息

（4）…………

过滤器的使用

协议过滤

IP过滤

wireshark解析ARP协议

• Hardware type（网卡类型）：以太网（Ethernet）是1。我们常见的网络都是以太网

• Protocol type：查询中提供的网络地址的类型，IPv4是0x0800。

• Harware size：网卡地址长度，以太网网卡是6字节。

• Protocol size：查询中提供的网络地址的的长度，IPv4是4字节。

• Opcode：查询包值为1，响应包值为2。

• Sender MAC address：发送者的Mac地址。

• Sender IP address：发送者的IP地址。

• Target MAC address：接收者的Mac地址，指向性查询包是MAC地址表中记录的mac，广播性查询包是00:00:00:00:00:00。（注意区分ARP头和Eth头，指向性查询包Eth头的dst mac是MAC地址表中记录的mac，而广播性查询包是ff:ff:ff:ff:ff:ff)

• Target protocol address：要查询目标的mac地址的ip。

WireShark解析ICMP协议

wireshark 解析TCP协议

TCP 三次握手

1. Frame: 物理层的数据帧概况

2. Ethernet II: 数据链路层以太网帧头部信息

3. Internet Protocol Version 4: 网络层IP包头部信息

4. Transmission Control Protocol: 传输层TCP数据段头部信息

1. 源端口：source Port: 44922

2. 目的端口：Destination Port: 19999

3. 序号：sequence Number: o

4. 确认号：Acknowledgment number: o

5. 报头长度：Header Length: 4o bytes

6. 标志位：Flags: ox002 (SYN)

7. 校验和：Checksum: oxac81

TCP断开链接 四次挥手

wireShark 解析HTTP协议

总结