Wireshark是一款世界范围最广、最好用的网络封包分析软件,功能强大,界面友好直观,操作起来非常方便。它的创始人是Gerald Combs,前身是Ethereal,作为开源项目经过众多开发者的完善它已经成为使用量最大的安全工具之一。在CTF中也经常会使用wireshark进行流量数据包分析,可以快速检测网络通讯数据,获取最为详细的网络封包资料。Wireshark使用WinPCAP作为接口,直接与网卡进行数据报文交换。用户将在图形界面中浏览这些数据,实时监控TCP、session等网络动态,轻松完成网络管理工作。
数据包嗅探或协议分析:指捕获和解析网络上传输的数据的过程,以便更好地了解网络上正在发生的事情。
1.应用层:最高的一层,直接面对用户,各种程序都是基于这一层,主要作用是处理传输层提交的信息,与用户交换,并把信息传到下层发送。 2.传输层:主要作用对数据包的分割、重组、连接、管理、排序、重传等等,以及标记逻辑端口号—常见协议:TCP、UDP; 端口0~65535个端口,只是应该标识,方便管理(such as:21端口是FTP程序,80端口是HTTP程序,4000端口是QQ) 3.网络层:主要作用是实现与远程设备的连接,是TCP/IP模型中最重要的一层,封装为 IP头部。封装中的重要部分为IP地址,每台设备唯一。 4.链路层:主要功能在两个网络实体之间提供数据链路链接,最常见的是以太网和IEEE 802封装,封装中有一个重要的部分就是MAC地址(网卡物理地址)。
TCP协议:可靠,面向连接,效验数据,超时重传,有序号,保证数据完整有序到达,但是协议复杂速度稍慢。(适合文件传输和网页浏览,对数据完整有序要求比较高的场合) UDP协议:不可靠,仅发送数据,不保证数据完整有序到达,协议简单速度快。(适合DNS查询,视频聊天,对数据完整有序要求比较低,但对数据即使性要求比较高的场合)
wireshark是捕获机器上的某一块网卡的网络包,当你的机器上有多块网卡的时候,你需要选择一个网卡。 点击 Caputre->Interfaces
. 出现下面对话框,选择正确的网卡。然后点击"Start"按钮, 开始抓包
使用过滤是非常重要的, 初学者使用wireshark时,将会得到大量的冗余信息,在几千甚至几万条记录中,以至于很难找到自己需要的部分。搞得晕头转向。 过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。 过滤器有两种:
在Capture -> Capture Filters 中设置
保存过滤
在Filter栏上,填好Filter的表达式后,点击Save按钮, 取个名字。比如 "Filter 102"
Filter栏上就多了个"Filter 102" 的按钮。
表达式规则
过滤表达式 用途
http 只查看HTTP协议的记录
ip.src ==192.168.1.102 or ip.dst==192.168.1.102 源地址或者目标地址是192.168.1.102
封包列表(Packet List Pane)
封包列表的面板中显示,编号,时间戳,源地址,目标地址,协议,长度,以及封包信息。 你可以看到不同的协议用了不同的颜色显示。
你也可以修改这些显示颜色的规则, View->ColoringRules
.
封包详细信息 (Packet Details Pane) 这个面板是我们最重要的,用来查看协议中的每一个字段。 各行信息分别为 Frame: 物理层的数据帧概况 Ethernet II: 数据链路层以太网帧头部信息 Internet Protocol Version 4: 互联网层IP包头部信息 Transmission Control Protocol: 传输层T的数据段头部信息,此处是TCP Hypertext Transfer Protocol: 应用层的信息,此处是HTTP协议
从下图可以看到wireshark捕获到的TCP包中的每个字段。
看到这, 基本上对wireshak有了初步了解, 现在我们看一个TCP三次握手的实例 三次握手过程为
我们用wireshark实际分析下三次握手的过程。 打开wireshark, 打开浏览器输入 http://www.cr173.com 在wireshark中输入http过滤, 然后选中GET /tankxiao HTTP/1.1的那条记录,右键然后点击"Follow TCP Stream", 这样做的目的是为了得到与浏览器打开网站相关的数据包,将得到如下图
图中可以看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的, 这说明HTTP的确是使用TCP建立连接的。
客户端发送一个TCP,标志位为SYN,序列号为0, 代表客户端请求建立连接。 如下图
服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的I S N加1以.即0+1=1, 如下图
客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1, 如下图:
就这样通过了TCP三次握手,建立了连接
*********************************************************************************
工具文件下载地址:https://www.wireshark.org/download/
扫码关注腾讯云开发者
领取腾讯云代金券
Copyright © 2013 - 2025 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号:粤B2-20090059 深公网安备号 44030502008569
腾讯云计算(北京)有限责任公司 京ICP证150476号 | 京ICP备11018762号 | 京公网安备号11010802020287
Copyright © 2013 - 2025 Tencent Cloud.
All Rights Reserved. 腾讯云 版权所有