未解决
此帖子已超过 5 年
1.2K 消息
23
312826
如果看了这个你还是不会用Wireshark,那就来找我吧(8月6日完结)
一站式学习Wireshark(一):Wireshark基本用法
转载请在文首保留原文出处:EMC中文支持论坛https://community.emc.com/go/chinese
介绍
应用Wireshark显示过滤器分析特定数据流(下) NEW
应用Wireshark诊断网络性能 - TCP重传与重复ACK
应用Wireshark诊断网络性能 - TCP窗口与拥塞处理
更多信息
按照国际惯例,从最基本的说起。
抓取报文:
下载和安装好Wireshark之后,启动Wireshark并且在接口列表中选择接口名,然后开始在此接口上抓包。例如,如果想要在无线网络上抓取流量,点击无线接口。点击Capture Options可以配置高级属性,但现在无此必要。
点击接口名称之后,就可以看到实时接收的报文。Wireshark会捕捉系统发送和接收的每一个报文。如果抓取的接口是无线并且选项选取的是混合模式,那么也会看到网络上其他报文。
上端面板每一行对应一个网络报文,默认显示报文接收时间(相对开始抓取的时间点),源和目标IP地址,使用协议和报文相关信息。点击某一行可以在下面两个窗口看到更多信息。“+”图标显示报文里面每一层的详细信息。底端窗口同时以十六进制和ASCII码的方式列出报文内容。
需要停止抓取报文的时候,点击左上角的停止按键。
色彩标识:
进行到这里已经看到报文以绿色,蓝色,黑色显示出来。Wireshark通过颜色让各种流量的报文一目了然。比如默认绿色是TCP报文,深蓝色是DNS,浅蓝是UDP,黑色标识出有问题的TCP报文——比如乱序报文。
报文样本:
比如说你在家安装了Wireshark,但家用LAN环境下没有感兴趣的报文可供观察,那么可以去Wireshark wiki下载报文样本文件。
打开一个抓取文件相当简单,在主界面上点击Open并浏览文件即可。也可以在Wireshark里保存自己的抓包文件并稍后打开。
过滤报文:
如果正在尝试分析问题,比如打电话的时候某一程序发送的报文,可以关闭所有其他使用网络的应用来减少流量。但还是可能有大批报文需要筛选,这时要用到Wireshark过滤器。
最基本的方式就是在窗口顶端过滤栏输入并点击Apply(或按下回车)。例如,输入“dns”就会只看到DNS报文。输入的时候,Wireshark会帮助自动完成过滤条件。
也可以点击Analyze菜单并选择Display Filters来创建新的过滤条件。
另一件很有趣的事情是你可以右键报文并选择Follow TCP Stream。
你会看到在服务器和目标端之间的全部会话。
关闭窗口之后,你会发现过滤条件自动被引用了——Wireshark显示构成会话的报文。
检查报文:
选中一个报文之后,就可以深入挖掘它的内容了。
也可以在这里创建过滤条件——只需右键细节并使用Apply as Filter子菜单,就可以根据此细节创建过滤条件。
Wireshark是一个非常之强大的工具,第一节只介绍它的最基本用法。网络专家用它来debug网络协议实现细节,检查安全问题,网络协议内部构件等等。
Roger_Wu
4K 消息
0
2015年4月23日 21:00
专家在活动帖里给你回复啦:
ARP大多是由192.168.1.12发出来的,和你抓包的这台机器无关。想知道.12为什么会一直发,可以登上去抓个包再看看。
黑色的包有多种类型的,我随机看了一个出现概率较高的,是浏览器触发的“Web Proxy Auto-Discovery Protocol (WPAD)”。 如果对这个协议有兴趣可以看维基百科Web Proxy Autodiscovery Protocol - Wikipedia, the free encyclopedia。 不感兴趣的话忽视它也没问题。
后续问题可以直接在专家问答活动贴里提问:https://community.emc.com/message/880790
finking
3 消息
0
2015年5月27日 20:00
我有个问题想请教一下:
当抓到的数据包中有多个内容一样,就是二层的源MAC,目的MAC不一样。这样的情况如何删除其中一个重复的包?
过滤目的是为了,过滤后能显示详细的信令流程。麻烦帮忙看一下,谢谢!
Zhang_Jiawen
1.2K 消息
0
2015年5月28日 23:00
如果是为了更清楚的看信令流程的话,可以用图的形式。看Statistics | Flow Graph, 然后打开Graph Analysis窗口。
补充一点,当debug一个phone call的时候,首先应当使用Call-ID参数(在SIP header中的message header,Apply as Filter)。
finking
3 消息
0
2015年5月29日 00:00
恩,谢谢!但是如果没有把两个重复包过滤掉一个的话在Graph analysis里面某个请求就会有同一请求有两个报文,这样不方便写报告。图中的数据就是对一个用户做功能测试流程的抓包(一个Call)。
场景是:A-->B-->C,源ip和目的为A和C,B做了个二层转发,这样就有了两个二层不同其他相同的报文。
Zhang_Jiawen
1.2K 消息
0
2015年5月31日 22:00
按二层地址过滤能实现不,示例:只显示从某个地址发出和到某个地址的报文,eth.src == mac_value and eth.dst == mac_value, 或不显示某地址的报文: !eth.addr == mac_value
finking
3 消息
0
2015年5月31日 23:00
已经找到方法了,用tcprewirte类似的工具批量修改包的二层头部,然后editcap过滤重复包。这样原来两个ip重复的包就被过滤掉一个了。如果用二层过滤会把其它单个不重复的包也过滤掉,流程就对不上了。
还是非常感谢您的答复。
Zhang_Jiawen
1.2K 消息
0
2015年6月1日 02:00
解决了就好。为了过滤一个包也是蛮拼的。。。
hpppppppppppppp
1 消息
0
2021年4月27日 06:00
作者你好,这个 Wireshark 系列教程很厉害~ ,可惜这里只有第一篇了,其他链接都已失效。
bs zhong
1 消息
0
2022年2月13日 19:00
追踪流,查看原始后都是16进制的,怎么办
clark_zhangbo
1 消息
0
2022年7月13日 18:00
写的很高