wireshark抓包應(yīng)用指導(dǎo)說明書

1、杭州迪普科技有限公司wireshark抓包應(yīng)用指導(dǎo)說明書擬制雷振華日期評(píng)審人日期簽發(fā)日期修訂記錄日期修訂版本描述作者V1.0初稿完成雷振華1 WIRESHARK介紹 32功能介紹 33圖形界面抓報(bào)文 33.1 選擇網(wǎng)卡抓報(bào)文 33.2 顯示報(bào)文抓取時(shí)間 43.3 WIRESHARKM面布局43.4 報(bào)文過濾條件 43.4.1 常用過濾條件43.4.2 WIRESHARK EXPRESSION53.4.3 高級(jí)過濾條件 53.4.4 WIRESHARK CAPTURE FILTER54命令行抓報(bào)文 64.1 選擇網(wǎng)卡64.2 命令行過濾條件 64.3 常用過濾條件 65批量轉(zhuǎn)換報(bào)文格式 71 W

2、ireshark 介紹Wireshark?是開源網(wǎng)絡(luò)包分析工具，支持 Windows/Linux/Unix 環(huán)境。網(wǎng)絡(luò)包分析工具的主要作用是嘗試捕獲 網(wǎng)絡(luò)包，并嘗試顯示包的盡可能詳細(xì)的情況。可以從網(wǎng)站下載最新版本的Wireshark （。Wireshark通常在4-8周內(nèi)發(fā)布一次新版本2 功能介紹Wireshark支持圖形和命令行兩種抓報(bào)文方式3 圖形界面抓報(bào)文3.1 選擇網(wǎng)卡抓報(bào)文第一步 打開 wireshark抓包軟件，點(diǎn)擊Capture-Intefaces ”,如圖3-1圖3-1選擇網(wǎng)卡第二步選擇抓包的網(wǎng)卡，點(diǎn)擊 Strart 開始抓包，這樣將抓取流經(jīng)此網(wǎng)卡的所有報(bào)文，并臨時(shí)保存在內(nèi)存中

3、。因此，如果持續(xù)抓包將消耗掉系統(tǒng)所有內(nèi)存。如圖 3-2和圖3-3圖3-2啟動(dòng)抓包圖3-3抓包界面圖標(biāo)說明重新抓報(bào)文停止抓報(bào)文表1-13.2 顯示報(bào)文抓取時(shí)間打開 wireshark 抓包軟件，點(diǎn)擊 View-TimeDisplay Format-Date and Time of Day ”,如圖 3-4 和圖 3-5圖3-4效果圖：圖3-53.3 Wireshark界面布局Wireshark界面主要分為三部分（如圖 3-6）,區(qū)域一顯示抓取的報(bào)文，區(qū)域二顯示選中報(bào)文的包頭詳細(xì)信息，區(qū)域三顯示選中報(bào)文的詳細(xì)信息，默認(rèn)以十六進(jìn)制顯示。圖3-6功能說明區(qū)域一顯示抓取的報(bào)文區(qū)域二顯示選中報(bào)文的包頭詳細(xì)

4、信息區(qū)域三顯示選中報(bào)文的詳細(xì)信息，默認(rèn)以十六進(jìn)制顯示Packets抓取的所肩報(bào)文計(jì)數(shù)Displayed滿足過濾條件的報(bào)文計(jì)數(shù)表1-23.4 報(bào)文過濾條件Wireshark能夠根據(jù)應(yīng)用的需要設(shè)置靈活方便的過濾條件，迅速篩選出符合條件的報(bào)文。Wireshark的Filter過濾能夠自動(dòng)檢測語法合法性，如果過濾條件設(shè)置正確，則Filter輸入框?yàn)榫G色，如果過濾條件設(shè)置錯(cuò)誤，則 Filter輸入框?yàn)榧t色。如圖 3-7圖3-73.4.1 常用過濾條件功能說明源源ip.dstIPipudp/tcp.port=80過濾udp或tcp源端口或目的端口是 80的報(bào)文udp/tcp.srcport=40004過濾

5、udp或tcp源端口是40004的報(bào)文udp/tcp.dstport=80過濾udp或tcp目的端口是80的報(bào)文tcp.srcport=40004 and tcp.dstport=80過濾tcp協(xié)議源端口是40004且目的端口是80的報(bào)文tcp/udp/http過濾tcp/udp/http 報(bào)文抓tcp syn報(bào)文ip.id=0xadcd過濾ip報(bào)文id是0xadcd的報(bào)文表1-33.4.2 Wireshark expression當(dāng)然，如果你對(duì)Filter過濾規(guī)則不熟悉或者不知道如何怎么寫時(shí)，可以使用 wireshark的Expression ,這里列出了 wireshark所支持的所有過濾

6、協(xié)議以及過濾方式圖3-83.4.3 高級(jí)過濾條件上述的過濾條件都是wireshark內(nèi)置的，主要是根據(jù)已知的包頭字段內(nèi)容過濾。同時(shí) wireshark也支持根據(jù)報(bào)文負(fù)載內(nèi)部過濾。表1-4項(xiàng)目說明tcp/udpoffset:n從tcp或udp偏移指定字節(jié)后，命中指定n個(gè)字節(jié)的內(nèi)容tcp20:8表不從20開始，取8個(gè)字節(jié)udp8:3表不從8開始，取3個(gè)字節(jié)udp8:3=81:60:03不可以寫為 udp8:3=816003根據(jù)負(fù)載單字節(jié)過濾，如圖 3-9圖3-9根據(jù)udp負(fù)載過濾雙字節(jié)，如圖 3-10圖 3-10根據(jù)tcp包頭后3字節(jié)內(nèi)容，如圖3-11圖 3-113.4.4 Wireshark c

7、apture filter根據(jù)3.1抓報(bào)文，wireshark默認(rèn)抓取所選網(wǎng)卡的所有報(bào)文，并且保存在內(nèi)存中。如果忘記停止抓報(bào)文，會(huì)耗 盡系統(tǒng)內(nèi)存。我們完全可以設(shè)置 wireshark只抓取滿足過濾條件的報(bào)文。圖 3-12點(diǎn)擊圖中的“ Options”選擇，進(jìn)入圖 3-13圖 3-13設(shè)置好過濾條件后，點(diǎn)擊 Start , wireshark就只抓取符合過濾條件的報(bào)文。在Capture Filter 輸入框內(nèi)輸入過濾條件。語法正確，輸入框背景顯示為綠色，語法錯(cuò)誤，輸入框背景顯示 為紅色。請(qǐng)注意，此處的語法與 3.4.1不相同。常用過濾條件：表1-5功能說明源源udp port 69udp端口是6

8、9的報(bào)文4命令行抓報(bào)文命令行抓包可以讓抓取的報(bào)文直接保存在硬盤上，這樣既不用擔(dān)心wireshark抓大流量報(bào)文時(shí)（例如筆記本抓1Gbps速率的報(bào)文）崩潰，又不用擔(dān)心迅速耗盡系統(tǒng)內(nèi)存的風(fēng)險(xiǎn)。4.1 選擇網(wǎng)卡使用cmd進(jìn)入 wireshark的安裝目錄，如圖 4-1圖4-1執(zhí)行dumpcap.exe -D列出所有網(wǎng)卡圖4-2根據(jù)wireshark圖形界面，選擇你需要抓包接口ID圖4-34.2 命令行過濾條件Dumpcap.exe -i 1 -s 0 -B 256 filesize:10000 -w f:1.pcap -f tcp port 80圖4-4項(xiàng)目說明-i 1接口 ID值，可使用 dump

9、cap.exe -D查看-s 0指定抓取報(bào)文的長度，0表不抓取報(bào)文全部長度-B 256size of kernel buffer ,即系統(tǒng)內(nèi)核緩存。默認(rèn)是 2MFilesizes:10000每10M 一個(gè)文件保存-w f:1.pcap抓取的報(bào)文保存在F盤，文件名為1.pcap-f tcp port 80 ”抓報(bào)文的過濾條件表1-64.3 常用過濾條件2、dumpcap.exe -i 1 -s 65535 -B 256 -b filesize:200000 -w F:pcap13.pcap -f udp port 18135 批量轉(zhuǎn)換報(bào)文格式步驟1、確定wireshark安裝目錄，如圖 5-1圖

10、5-1步驟2、操作方法：【計(jì)算機(jī)】=【屬性=【高級(jí)系統(tǒng)設(shè)置二【高級(jí)=【環(huán)境變量】 在彈出的窗口中確認(rèn)“用戶變量”有沒有“ path”變量，如果沒有則選擇“新建”，在彈出 的窗口中“變量名”為“path”，對(duì)應(yīng)的變量值則為wireshark的安裝路徑。若已經(jīng)存在“path 變量，則只需要編輯“ path”變量，將wireshark的安裝路徑作為變量值輸入，注意：若“path”變量中已存在其他變量，則需要用“；”分號(hào)將各個(gè)變量隔開。系統(tǒng)變量的設(shè)置方 法與用戶變量的設(shè)置方法一致?！菊f明】“用戶變量”與“系統(tǒng)變量”的區(qū)別：用戶變量只對(duì)當(dāng)前用戶有效，而系統(tǒng)變量對(duì)所有用戶都生效。所以如果需要此設(shè)置對(duì)其他用

11、戶也生效，則只需設(shè)置系統(tǒng)變量即可。圖5-2圖5-3圖5-4步驟3、操作方法：將下面的內(nèi)容復(fù)制到記事本中，然后保存為 .bat格式，命名為“批量 轉(zhuǎn)化報(bào)文格式.bat ”if exist subdirs.txt del subdirs.txtnuldir /d /b /a:-d subdirs.txtfor /f %i in (subdirs.txt ) do tshark -r %i -F pcap -w converted/%i pausedel subdirs.txtnul圖5-5步驟4、操作方法：將上一步創(chuàng)建的腳本放到需要轉(zhuǎn)化的報(bào)文目錄下，然后新建一個(gè)文件夾 并命名為“converted ，用于存放格式轉(zhuǎn)化后的報(bào)文。圖5-6步驟5、操作方法：雙擊腳本”批量轉(zhuǎn)化報(bào)文格式.bat ，彈出一個(gè)cmd窗口會(huì)顯示腳本