wireshark官方版是一款網(wǎng)絡(luò)封包分析軟件，擁有著領(lǐng)先的捕獲并解碼網(wǎng)絡(luò)上的數(shù)據(jù)技術(shù)、以及超強顯示過濾器語言、查看TCP會話重構(gòu)流的能力等功能，通過使用WinPCAP作為接口可直接與網(wǎng)卡進行數(shù)據(jù)報文交換，讓用戶實現(xiàn)一鍵擷取網(wǎng)絡(luò)封包。還可通過圖形界面瀏覽這些數(shù)據(jù)，并查看網(wǎng)絡(luò)通訊數(shù)據(jù)包中每一層的詳細內(nèi)容，像成 "電工技師使用電表來量測電流、電壓、電阻" 的工作一樣。只是將場景移植到網(wǎng)絡(luò)上，并將電線替換成網(wǎng)絡(luò)線，讓大家可免費擁有或取得軟件與其源代碼，并針對其源代碼修改及客制化的權(quán)利。相對而言會比較適用于網(wǎng)絡(luò)管理和安全工程等行業(yè)領(lǐng)域的朋友，為大家提供有關(guān)故障排除，保護，分析和維護的高效網(wǎng)絡(luò)基礎(chǔ)架構(gòu)、以及最佳實踐的教育工具。感興趣的朋友趕緊來下載試試吧！

軟件特色

1、支持的操作系統(tǒng)

軟件對主流的操作系統(tǒng)都提供了支持,其中包括Windows、MacOSX以及基于Linux的系統(tǒng)。

2、使用捕獲過濾器

通過設(shè)置捕獲過濾器，可以避免產(chǎn)生過大的捕獲文件。這樣用戶在分析數(shù)據(jù)時，也不會受其它數(shù)據(jù)干擾。而且，還可以為用戶節(jié)約大量的時間。

3、選擇捕獲接口

一般都是選擇連接到Internet網(wǎng)絡(luò)的接口，這樣才可以捕獲到與網(wǎng)絡(luò)相關(guān)的數(shù)據(jù)。否則，捕獲到的其它數(shù)據(jù)對自己也沒有任何幫助。

4、重組數(shù)據(jù)

Wireshark的重組功能，可以重組一個會話中不同數(shù)據(jù)包的信息，或者是一個重組一個完整的圖片或文件。由于傳輸?shù)奈募^大，所以信息分布在多個數(shù)據(jù)包中。為了能夠查看到整個圖片或文件，這時候就需要使用重組數(shù)據(jù)的方法來實現(xiàn)。

5、免費

由于軟件是開源的,它在價格上面是無以匹敵的，軟件是遵循GPL協(xié)議發(fā)布的自由軟件，任何人無論出于私人還是商業(yè)目的，都可以下載并且使用。

6、用戶友好度

軟件的界面是數(shù)據(jù)包嗅探工具中最容易理解的工具之一。基于GUI,并提供了清晰的菜單欄和簡明的布局。

軟件功能

1、對數(shù)百個協(xié)議進行深度檢查，并一直在添加更多協(xié)議

2、實時捕捉和離線分析

3、標準三窗格數(shù)據(jù)包瀏覽器

4、多平臺：在 Windows、Linux、macOS、Solaris、FreeBSD、NetBSD 和許多其他平臺上運行

5、可以通過 GUI 或通過 TTY 模式 TShark 實用程序瀏覽捕獲的網(wǎng)絡(luò)數(shù)據(jù)

6、業(yè)內(nèi)最強大的顯示過濾器

7、豐富的VoIP分析

8、讀取/寫入許多不同的捕獲文件格式：tcpdump (libpcap)、Pcap NG、Catapult DCT2000、Cisco Secure IDS iplog、Microsoft Network Monitor、Network General Sniffer®（壓縮和未壓縮）、Sniffer® Pro 和 NetXray®、Network Instruments Observer , NetScreen snoop, Novell LANalyzer, RADCOM WAN/LAN Analyzer, Shomiti/Finisar Surveyor, Tektronix K12xx, Visual Networks Visual UpTime, WildPackets EtherPeek/TokenPeek/AiroPeek 等

9、使用 gzip 壓縮的捕獲文件可以即時解壓縮

10、可以從以太網(wǎng)、IEEE 802.11、PPP/HDLC、ATM、藍牙、USB、令牌環(huán)、幀中繼、FDDI 等（取決于您的平臺）讀取實時數(shù)據(jù)

11、對許多協(xié)議的解密支持，包括 IPsec、ISAKMP、Kerberos、SNMPv3、SSL/TLS、WEP 和 WPA/WPA2

12、可將著色規(guī)則應(yīng)用于數(shù)據(jù)包列表，以進行快速、直觀的分析

13、輸出可以導(dǎo)出為 XML、PostScript®、CSV 或純文本

wireshark使用教程入門

1、功能

wireshark能獲取HTTP，也能獲取HTTPS，但是不能解密HTTPS，所以wireshark看不懂HTTPS中的內(nèi)容，總結(jié)，如果是處理HTTP,HTTPS 還是用Fiddler, 其他協(xié)議比如TCP,UDP 就用wireshark.

2、選擇網(wǎng)卡

wireshark是捕獲機器上的某一塊網(wǎng)卡的網(wǎng)絡(luò)包，當你的機器上有多塊網(wǎng)卡的時候，你需要選擇一個網(wǎng)卡。

3、窗口介紹：

WireShark 主要分為這幾個界面

3.1 Display Filter(顯示過濾器)， 用于過濾

3.2 Packet List Pane(封包列表)， 顯示捕獲到的封包， 有源地址和目標地址，端口號。 顏色不同，代表不同的類型

3.3 Packet Details Pane(封包詳細信息), 顯示封包中的字段

3.4 Dissector Pane(16進制數(shù)據(jù))

3.5 Miscellanous(地址欄，雜項)

如何捕獲數(shù)據(jù)包

4、過濾器

使用過濾是非常重要的， 初學者使用wireshark時，將會得到大量的冗余信息，在幾千甚至幾萬條記錄中，以至于很難找到自己需要的部分。搞得暈頭轉(zhuǎn)向。過濾器會幫助我們在大量的數(shù)據(jù)中迅速找到我們需要的信息。

4.1 過濾器有兩種，一種是顯示過濾器，就是主界面上那個，用來在捕獲的記錄中找到所需要的記錄，一種是捕獲過濾器，用來過濾捕獲的封包，以免捕獲太多的記錄。在Capture -> Capture Filters 中設(shè)置，保存過濾。

4.2 新建過濾器，在Filter欄上，填好Filter的表達式后，點擊Save按鈕， 取個名字。比如"Filter 10",

4.3 過濾表達式的規(guī)則

4.3.1 協(xié)議過濾

比如TCP，只顯示TCP協(xié)議。

4.3.2 IP 過濾

比如 ip.src =192.168.1.102 顯示源地址為192.168.1.102，

ip.dst=192.168.1.102, 目標地址為192.168.1.102

4.3.3 端口過濾

tcp.port =80, 端口為80的

tcp.srcport = 80, 只顯示TCP協(xié)議的愿端口為80的。

4.3.4 Http模式過濾

http.request.method==“GET”, 只顯示HTTP GET方法的。

4.3.5 邏輯運算符為 AND/ OR

5、捕獲結(jié)果分析

5.1 著色規(guī)則

在菜單“視圖-著色規(guī)則”下查看

5.2 數(shù)據(jù)包結(jié)構(gòu)

第一行：數(shù)據(jù)包整體概述，

第二行：鏈路層詳細信息，主要的是雙方的mac地址。

第三行：網(wǎng)絡(luò)層詳細信息，主要的是雙方的IP地址。

第四行：傳輸層的詳細信息，主要的是雙方的端口號。

5.3 tcp數(shù)據(jù)包

標志位對應(yīng)的功能：

URG：緊急指針（ urgent pointer）有效。

ACK：確認序號有效。

PSH：接收方應(yīng)該盡快將這個報文段交給應(yīng)用層。

RST：重建連接。

SYN：同步序號用來發(fā)起一個連接。

FIN：發(fā)端完成發(fā)送任務(wù)。

窗口大?。河糜诹髁靠刂?。

檢驗和：檢驗和覆蓋了整個的 TCP報文段： TCP首部和TCP數(shù)據(jù)，與udp相似需要計算偽首部。

tcp數(shù)據(jù)包結(jié)構(gòu)及在wireshark中的位置

6、Tcp三次握手分析

客戶端->服務(wù)器：發(fā)送標識為SYN=1、隨機產(chǎn)生的客戶端序號seq（發(fā)送序號）

服務(wù)器->客戶端：發(fā)送標識為SYN=1、ACK=1、第一步產(chǎn)生的客戶端序號seq+1（確認序號）、隨機產(chǎn)生的服務(wù)端序號seq

客戶端->服務(wù)器：第一步產(chǎn)生的客戶端序號seq+1（發(fā)送序號）、第二步產(chǎn)生的服務(wù)端序號seq+1（確認序號）、ACK=1

三次數(shù)據(jù)包

其中[SYN]意為SYN位為1（如果沒有，則表示為0）。同理如果[]中有ACK，表示ACK位為1

6.1 第一次握手數(shù)據(jù)包

客戶端發(fā)送一個TCP，標志位為SYN，序列號為0， 代表客戶端請求建立連接。 如下圖

6.2 第二次握手的數(shù)據(jù)包

服務(wù)器發(fā)回確認包, 標志位為 SYN,ACK. 將確認序號(Acknowledgement Number)設(shè)置為客戶的I S N加1以.即0+1=1, 如下圖

6.3 第三次握手的數(shù)據(jù)包

客戶端再次發(fā)送確認包(ACK) SYN標志位為0,ACK標志位為1.并且把服務(wù)器發(fā)來ACK的序號字段+1,放在確定字段中發(fā)送給對方.并且在數(shù)據(jù)段放寫ISN的+1, 如下圖:

就這樣通過了TCP三次握手，建立了連接

過濾命令

1、過濾源ip、目的ip

在wireshark的過濾規(guī)則框Filter中輸入過濾條件。如查找目的地址為192.168.101.8的包，ip.dst==192.168.101.8；查找源地址為ip.src==1.1.1.1

2、端口過濾

如過濾80端口，在Filter中輸入，tcp.port==80，這條規(guī)則是把源端口和目的端口為80的都過濾出來。使用tcp.dstport==80只過濾目的端口為80的，tcp.srcport==80只過濾源端口為80的包

3、協(xié)議過濾

直接在Filter框中直接輸入?yún)f(xié)議名即可，如過濾HTTP的協(xié)議

4、http模式過濾

如過濾get包，http.request.method=="GET",過濾post包，http.request.method=="POST"

5、連接符and的使用

過濾兩種條件時，使用and連接，如過濾ip為192.168.101.8并且為http協(xié)議的，ip.src==192.168.101.8 and htt