第 4 章 實(shí)時(shí)捕捉數(shù)據(jù)包

1、第 4 章 實(shí)時(shí)捕捉數(shù)據(jù)包4.1. 介紹實(shí)時(shí)捕捉數(shù)據(jù)包時(shí)Wireshar的特色之一Wiershark捕捉引擎具備以下特點(diǎn)· 支持多種網(wǎng)絡(luò)接口的捕捉(以太網(wǎng)，令牌環(huán)網(wǎng)，ATM.)· 支持多種機(jī)制觸發(fā)停止捕捉，例如：捕捉文件的大小，捕捉持續(xù)時(shí)間，捕捉到包的數(shù)量.· 捕捉時(shí)同時(shí)顯示包解碼詳情· 設(shè)置過(guò)濾，減少捕捉到包的容量。見第  節(jié) “捕捉時(shí)過(guò)濾”· 長(zhǎng)時(shí)間捕捉時(shí)，可以設(shè)置生成多個(gè)文件。對(duì)于特別長(zhǎng)時(shí)間的捕捉，可以設(shè)置捕捉文件大小罰值，設(shè)置僅保留最后的N個(gè)文件等手段。見第 

2、0;節(jié) “捕捉文件格式、模式設(shè)置”Wireshark捕捉引擎在以下幾個(gè)方面尚有不足· 從多個(gè)網(wǎng)絡(luò)接口同時(shí)實(shí)時(shí)捕捉，(但是您可以開始多個(gè)應(yīng)用程序?qū)嶓w，捕捉后進(jìn)行文件合并)· 根據(jù)捕捉到的數(shù)據(jù)停止捕捉(或其他操作)4.2. 準(zhǔn)備工作第一次設(shè)置Wireshark捕捉包可能會(huì)遇到一些小麻煩提示關(guān)于如何進(jìn)行捕捉設(shè)置的較為全面的向?qū)Э梢栽?這里有一些常見需要注意的地方· 你必須擁有root/Administrator特權(quán)以開始捕捉12· 必須選擇正確的網(wǎng)絡(luò)接口捕捉數(shù)據(jù)· 如果您想捕捉某處的通信，你必須作出決定：在什么地方可以捕捉到· 以

3、及許多如果你碰到設(shè)置問(wèn)題，建議看看前面的那個(gè)向?qū)В蛟S會(huì)有所幫助4.3. 開始捕捉可以使用下任一方式開始捕捉包· 使用打開捕捉接口對(duì)話框，瀏覽可用的本地網(wǎng)絡(luò)接口，見圖 4.1 “"Capture Interfaces"捕捉接口對(duì)話框”,選擇您需要進(jìn)行捕捉的接口啟動(dòng)捕捉· 你也可以使用"捕捉選項(xiàng)"按鈕啟動(dòng)對(duì)話框開始捕捉，見圖 4.2 “"Capture Option/捕捉選項(xiàng)"對(duì)話框”· 如果您前次捕捉時(shí)的設(shè)置和現(xiàn)在的要求一樣，您可以點(diǎn)擊"開始捕捉"按鈕或者

4、是菜單項(xiàng)立即開始本次捕捉。· 如果你已經(jīng)知道捕捉接口的名稱，可以使用如下命令從命令行開始捕捉： wireshark -i eth0 -k上述命令會(huì)從eht0接口開始捕捉，有關(guān)命令行的介紹參見第  節(jié) “從命令行啟動(dòng)Wireshark”4.4. 捕捉接口對(duì)話框如果您從捕捉菜單選擇"Interface."，將會(huì)彈出如圖 4.1 “"Capture Interfaces"捕捉接口對(duì)話框”所示的對(duì)話框警告打開"Capture Interfaces"/捕捉對(duì)話框時(shí) 同時(shí)正在顯示捕捉的數(shù)據(jù)，這將會(huì)

5、大量消耗您的系統(tǒng)資源。盡快選擇您需要的接口以結(jié)束該對(duì)話框。避免影響系統(tǒng)性能 注意這個(gè)對(duì)話框只顯示本地已知的網(wǎng)絡(luò)接口，Wireshark可能無(wú)法檢測(cè)到所有的本地接口，Wireshark不能檢測(cè)遠(yuǎn)程可用的網(wǎng)絡(luò)接口，Wireshark只能使用列出可用的網(wǎng)絡(luò)接口 圖 4.1. "Capture Interfaces"捕捉接口對(duì)話框描述 從操作系統(tǒng)獲取的接口信息 IP Wireshark能解析的第一個(gè)IP地址，如果接口未獲得IP地址（如，不存在可用的DHCP服務(wù)器)，將會(huì)顯示"Unkow",如果有超過(guò)一個(gè)IP的，只顯示第一個(gè)(無(wú)法確定哪一個(gè)會(huì)顯

6、示). Packets 打開該窗口后，從此接口捕捉到的包的數(shù)目。如果一直沒(méi)有接收到包，則會(huì)顯示為灰度 Packets/s 最近一秒捕捉到包的數(shù)目。如果最近一秒沒(méi)有捕捉到包，將會(huì)是灰度顯示 Stop 停止當(dāng)前運(yùn)行的捕捉 Capture 從選擇的接口立即開始捕捉，使用最后一次捕捉的設(shè)置。 Options 打開該接口的捕捉選項(xiàng)對(duì)話框,見 第  節(jié) “捕捉選項(xiàng)對(duì)話框” Details(僅Win32系統(tǒng)) 打開對(duì)話框顯示接口的詳細(xì)信息 Close 關(guān)閉對(duì)話框 4.5. 捕捉選項(xiàng)對(duì)話框如果您從捕捉菜單選擇"start."按鈕(或者從主工具欄選擇對(duì)應(yīng)的項(xiàng)目)

7、,Wireshark彈出"Capture Option/捕捉選項(xiàng)"對(duì)話框。如圖 4.2 “"Capture Option/捕捉選項(xiàng)"對(duì)話框”所示圖 4.2. "Capture Option/捕捉選項(xiàng)"對(duì)話框提示如果你不了解各項(xiàng)設(shè)置的意義，建議保持默認(rèn)。 你可以用對(duì)話框中的如下字段進(jìn)行設(shè)置. 捕捉楨Interface 該字段指定你想用于進(jìn)行捕捉的借口。一次只能使用一個(gè)接口。這是一個(gè)下拉列表，簡(jiǎn)單點(diǎn)擊右側(cè)的按鈕，選擇你想要使用的接口。默認(rèn)第一是支持捕捉的non-loopback(非環(huán)回)接口，如果沒(méi)

8、有這樣的接口，第一個(gè)將是環(huán)回接口。在某些系統(tǒng)中，回借口不支持捕捉包(windows平臺(tái)下的環(huán)回接口就不支持。)在命令行使用-i <interface>參數(shù)可以替代該選項(xiàng)IP address 表示選擇接口的IP地址。如果系統(tǒng)未指定IP地址，將會(huì)顯示為"unknown" Link-layer header type 除非你有些特殊應(yīng)用，盡量保持此選項(xiàng)默認(rèn)。想了解更多詳情，見 第  節(jié) “鏈路層包頭類型” Buffer size: n megabyte(s) 輸入用于捕捉的緩層大小。該選項(xiàng)是設(shè)置寫入數(shù)據(jù)到磁盤前保留在核心緩存中捕捉數(shù)據(jù)的大小，如果你

9、發(fā)現(xiàn)丟包。嘗試增大該值。注意該選項(xiàng)僅適用于Windows平臺(tái)Capture packets in promiscuous mode 指定Wireshark捕捉包時(shí)，設(shè)置接口為雜收模式(有些人翻譯為混雜模式)。如果你未指定該選項(xiàng)，Wireshark 將只能捕捉進(jìn)出你電腦的數(shù)據(jù)包(不能捕捉整個(gè)局域網(wǎng)段的包)13注意如果其他應(yīng)用程序?qū)⒕W(wǎng)卡設(shè)置為雜收模式，即使不選中該選項(xiàng)，也會(huì)工作于雜收模式下。注意即使在雜收模式下，你也未必能夠接收到整個(gè)網(wǎng)段所有的網(wǎng)絡(luò)包。詳細(xì)解釋見/faq.html#promiscsniffLimit each packet to n b

10、ytes 指定捕捉過(guò)程中，每個(gè)包的最大字節(jié)數(shù)。在某些地方被稱為。"snaplen".14如果禁止該選項(xiàng)，默認(rèn)值為65535，這適用于大多數(shù)協(xié)議，下面是一些大多數(shù)情況下都適用的規(guī)則(這里又出現(xiàn)了拇指規(guī)則，第一章，系統(tǒng)需求時(shí)提到過(guò)。這里權(quán)且翻譯作普適而非絕對(duì)的規(guī)則)· 如果你不確定，盡量保持默認(rèn)值· 如果你不需要包中的所有數(shù)據(jù)。例如：如果您僅需要鏈路層、IP和TCP包頭，您可能想要選擇一個(gè)較小的快照長(zhǎng)度。這樣只需要較少的cpu占用時(shí)間用于復(fù)制包，包需要的緩存也較少。如此在繁忙網(wǎng)絡(luò)中捕捉時(shí)丟失的包也可能會(huì)相應(yīng)少一點(diǎn)。· 如果你沒(méi)有捕捉包中的所有數(shù)據(jù)(

11、適用snpaplen截?cái)嗔税?，你可能會(huì)發(fā)現(xiàn)有時(shí)候你想要的包中的數(shù)據(jù)部分被截?cái)鄟G棄了?；蛘咭?yàn)槿鄙僦匾牟糠?，想?duì)某些包進(jìn)行重組而發(fā)現(xiàn)失敗。Capture Filter 指定捕捉過(guò)濾。捕捉過(guò)濾器將會(huì)在有第  節(jié) “捕捉時(shí)過(guò)濾”詳細(xì)介紹，默認(rèn)情況下是空的。同樣你也可以點(diǎn)擊捕捉按鈕，通過(guò)彈出的捕捉過(guò)濾對(duì)話框創(chuàng)建或選擇一個(gè)過(guò)濾器，詳見第  節(jié) “定義，保存過(guò)濾器”. 捉數(shù)據(jù)幀為文件。捕捉文件設(shè)置的使用方法的詳細(xì)介紹見第  節(jié) “捕捉文件格式、模式設(shè)置”File 指定將用于捕捉的文件名。該字段默認(rèn)是空白。如果保持空白，捕捉數(shù)據(jù)將會(huì)存

12、儲(chǔ)在臨時(shí)文件夾。詳見第  節(jié) “捕捉文件格式、模式設(shè)置”你可以點(diǎn)擊右側(cè)的按鈕打開瀏覽窗口設(shè)置文件存儲(chǔ)位置Use multiple files 如果指定條件達(dá)到臨界值，Wireshark將會(huì)自動(dòng)生成一個(gè)新文件，而不是適用單獨(dú)文件。Next file every n megabyte(s) 僅適用選中Use multiple files,如果捕捉文件容量達(dá)到指定值，將會(huì)生成切換到新文件Next file every n minutes(s) 僅適用選中Use multiple files,如果捕捉文件持續(xù)時(shí)間達(dá)到指定值，將會(huì)切換到新文件。Ring buffer with n f

13、iles 僅適用選中Use multiple files,僅生成制定數(shù)目的文件。Stop caputure after n file(s) 僅適用選中Use multiple files,當(dāng)生成指定數(shù)目文件時(shí)，在生成下一個(gè)文件時(shí)停止捕捉(生成n個(gè)還是n+1個(gè)文件?). 停止捕捉楨. after n packet(s) 在捕捉到指定數(shù)目數(shù)據(jù)包后停止捕捉. after n megabytes(s) 在捕捉到指定容量的數(shù)據(jù)(byte(s)/kilobyte(s)/megabyte(s)/gigabyte(s) )后停止捕捉。如果沒(méi)有適用"user multiple files&q

14、uot;,該選項(xiàng)將是灰色. after n minute(s) 在達(dá)到指定時(shí)間后停止捕捉. 顯示楨選項(xiàng)Update list of packets in real time 在包列表面板實(shí)時(shí)更新捕捉數(shù)據(jù)。如果未選定該選項(xiàng)，在Wireshark捕捉結(jié)束之前將不能顯示數(shù)據(jù)。如果選中該選項(xiàng)，Wireshark將生成兩個(gè)獨(dú)立的進(jìn)程，通過(guò)捕捉進(jìn)程傳輸數(shù)據(jù)給顯示進(jìn)程。Automatic scrolling in live capture 指定Wireshark在有數(shù)據(jù)進(jìn)入時(shí)實(shí)時(shí)滾動(dòng)包列表面板，這樣您將一直能看到最近的包。反之，則最新數(shù)據(jù)包會(huì)被放置在行末，但不會(huì)自動(dòng)滾動(dòng)面板。如果未設(shè)置"

15、update list of packets in real time",該選項(xiàng)將是灰色不可選的。Hide capture info dialog 選中該選項(xiàng)，將會(huì)隱藏捕捉信息對(duì)話框. 名稱解析設(shè)置Enable MAC name resolution 設(shè)置是否讓W(xué)ireshark翻譯MAC地址為名稱，見第  節(jié) “名稱解析”Enable network name resolution 是否允許Wireshark對(duì)網(wǎng)絡(luò)地址進(jìn)行解析，見第  節(jié) “名稱解析”. 按鈕進(jìn)行完上述設(shè)置以后，你可以點(diǎn)擊start按鈕進(jìn)行捕捉,也可以點(diǎn)擊

16、Cancel退出捕捉.開始捕捉以后，在你收集到足夠的數(shù)據(jù)時(shí)你可以停止捕捉。見第  節(jié) “在捕捉過(guò)程中”4.6. 捕捉文件格式、模式設(shè)置在 捕捉時(shí)，libpcap 捕捉引擎(linux環(huán)境下)會(huì)抓取來(lái)自網(wǎng)卡的包存放在(相對(duì)來(lái)說(shuō))較小的核心緩存內(nèi)。這些數(shù)據(jù)由Wireshark讀取并保存到用戶指定的捕捉文件中。保存包數(shù)據(jù)到捕捉文件時(shí)，可采用差異模式操作。提示處理大文件(數(shù)百兆)將會(huì)變得非常慢。如果你計(jì)劃進(jìn)行長(zhǎng)時(shí)間捕捉，或者處于一個(gè)高吞吐量的網(wǎng)絡(luò)中，考慮使用前面提到的"Multiple files/多文件"選項(xiàng)。該選項(xiàng)可以將捕捉包分割為多個(gè)小文件。這樣

17、可能更適合上述環(huán)境。注意使用多文件可能會(huì)切斷上下文關(guān)聯(lián)信息。Wireshark保留載入包的上下文信息，所以它會(huì)報(bào)告上下文關(guān)聯(lián)問(wèn)題(例如流問(wèn)題)和關(guān)聯(lián)上下文協(xié)議信息(例如：何處數(shù)據(jù)產(chǎn)生建立階段，必須查找后續(xù)包)。這些信息僅能在載入文件中顯示，使用多文件模式可能會(huì)截?cái)噙@樣的上下文。如果建立連接階段已經(jīng)保存在一個(gè)文件中，你想要看的在另一個(gè)文件中，你可能無(wú)法看到可用的上下文關(guān)聯(lián)信息。提示關(guān)于捕捉文件的目錄信息，可見?表 4.1. 捕捉文件模式選項(xiàng)"File"選項(xiàng)"Use multiple files"選項(xiàng)"Ring buffer w

18、ith n files"選項(xiàng)Mode最終文件命名方式-Single temporary fileetherXXXXXX (where XXXXXX 是一個(gè)獨(dú)立值)-Single named filex-Multiple files,continuousfoo_00001_20040205110102.cap, foo_00002_20040205110102.cap, .xxMultiple files,ring bufferfoo_00001_20040205110102.cap, foo_00002_20040205110102.cap, .Single temporary fi

19、le 將會(huì)創(chuàng)建并使用一個(gè)臨時(shí)文件(默認(rèn)選項(xiàng)).捕捉文件結(jié)束后，該文件可以由用戶指定文件名。Single named file 使用單獨(dú)文件，如果你想放到指定目錄，選擇此模式Multiple files,continuous 與single name file模式類似，不同點(diǎn)在于，當(dāng)捕捉達(dá)到多文件切換臨界條件時(shí)之一時(shí)，會(huì)創(chuàng)建一個(gè)新文件用于捕捉Multiple files,ring buffer 與"multiple files continuous"模式類似，不同之處在于，創(chuàng)建的文件數(shù)目固定。當(dāng)達(dá)到ring buffer with n值時(shí)，會(huì)替換掉第一個(gè)文件開始捕捉，如此循環(huán)

20、往復(fù)。該模式可以限制最大磁盤空間使用量，即使未限制捕捉數(shù)據(jù)輸入，也只能保留最后幾個(gè)捕捉數(shù)據(jù)。4.7. 鏈路層包頭類型在通常情況下，你不需要選擇鏈路層包頭類型。下面的段落描述了例外的情況，此時(shí)選擇包頭類型是有必要的，所以你需要知道怎么做：如果你在某種版本BSD操作系統(tǒng)下從某種802.11 設(shè)備(無(wú)線局域網(wǎng)設(shè)備)捕捉數(shù)據(jù)，可能需要在"802.11"和"Ethernet"中做出選擇。"Ethernet"將會(huì)導(dǎo)致捕捉到的包帶有偽以太網(wǎng)幀頭(不知道是不是應(yīng)該叫偽首部更準(zhǔn)確些);"802.11"將會(huì)導(dǎo)致他們帶有802

21、.11幀頭。如果捕捉時(shí)的應(yīng)用程序不支持"802.11幀頭"，你需要選擇"802.11"如果你使用Endace DAG card(某種網(wǎng)絡(luò)監(jiān)視卡)連接到同步串口線(譯者注：E文為synchronous serial line，權(quán)且翻譯作前文吧，未接觸過(guò)此卡、未熟稔此線名稱)，可能會(huì)出現(xiàn)"PPP over serial" 或 "Cisco HDLC"(自己google去)供選擇。根據(jù)你自己的情況選擇二者中的一個(gè)。如果你使用Endace DAG card(同上)連接到ATM網(wǎng)絡(luò)，將會(huì)提供"RFC 1483 IP

22、-over-ATM"、"Sun raw ATM"供選擇。如果捕捉的通信是RFC 1483封裝IP(RFC 1483 LLC-encapsulated IP,不翻譯為妙)，或者需要在不支持SunATM幀頭的應(yīng)用程序下捕捉，選擇前者。反之選擇后者。如果你在以太網(wǎng)捕捉，將會(huì)提供"Ethernet"、"DOCSIS"供選擇，如果您是在Cisco Cable Modem Termination System(CMTS是思科同軸電纜終端調(diào)制解調(diào)系統(tǒng)？)下捕捉數(shù)據(jù)。它會(huì)將DOCSIS(同軸電纜數(shù)據(jù)服務(wù)接口)通信放置到以太網(wǎng)中，供捕捉。此時(shí)

23、需要選擇"DOCSIS",反之則反之。4.8. 捕捉時(shí)過(guò)濾Wireshark使用libpcap過(guò)濾語(yǔ)句進(jìn)行捕捉過(guò)濾(what about winpcap?)。在tcpdump主頁(yè)有介紹，但這些只是過(guò)于晦澀難懂，所以這里做小幅度講解。提示你可以從找到捕捉過(guò)濾范例.在Wireshark捕捉選項(xiàng)對(duì)話(見圖 4.2 “"Capture Option/捕捉選項(xiàng)"對(duì)話框”)框輸入捕捉過(guò)濾字段。下面的語(yǔ)句有點(diǎn)類似于tcpdump捕捉過(guò)濾語(yǔ)言。在tcpdump主頁(yè)可以看到tcpdump表達(dá)式選項(xiàng)介紹。捕捉過(guò)濾的形式為：和取值(and/or)進(jìn)行進(jìn)行基

24、本單元連接，加上可選的，高有限級(jí)的not:not primitive and|or not primitive .例 4.1. 捕捉來(lái)自特定主機(jī)的telnet協(xié)議tcp port 23 and host .5本例捕捉來(lái)自或指向主機(jī).5的Telnet 通信，展示了如何用and連接兩個(gè)基本單元。另外一個(gè)例子例 4.2 “捕捉所有不是來(lái)自的telnet 通信”展示如何捕捉所有不是來(lái)自的telnet 通信。例 4.2. 捕捉所有不是來(lái)自.5的telnet 通信tcp host 23 and not src host .5

25、此處筆者建議增加更多范例。但是并沒(méi)有添加。一個(gè)基本單元通常是下面中的一個(gè)src|dst host <host> 此基本單元允許你過(guò)濾主機(jī)ip地址或名稱。你可以優(yōu)先指定src|dst關(guān)鍵詞來(lái)指定你關(guān)注的是源地址還是目標(biāo)地址。如果未指定，則指定的地址出現(xiàn)在源地址或目標(biāo)地址中的包會(huì)被抓取。ether src|dst host <ehost> 此單元允許你過(guò)濾主機(jī)以太網(wǎng)地址。你可以優(yōu)先指定關(guān)鍵詞src|dst在關(guān)鍵詞ether和host之間，來(lái)確定你關(guān)注的是源地址還是目標(biāo)地址。如果未指定，同上。gateway host<host> 過(guò)濾通過(guò)指定host作為網(wǎng)關(guān)的包。

26、這就是指那些以太網(wǎng)源地址或目標(biāo)地址是host，但源ip地址和目標(biāo)ip地址都不是host的包src|dst net <net> mask<mask>|len <len> 通過(guò)網(wǎng)絡(luò)號(hào)進(jìn)行過(guò)濾。你可以選擇優(yōu)先指定src|dst來(lái)確定你感興趣的是源網(wǎng)絡(luò)還是目標(biāo)網(wǎng)絡(luò)。如果兩個(gè)都沒(méi)指定。指定網(wǎng)絡(luò)出現(xiàn)在源還是目標(biāo)網(wǎng)絡(luò)的都會(huì)被選擇。另外，你可以選擇子網(wǎng)掩碼或者CIDR(無(wú)類別域形式)。tcp|udp src|dst port <port 過(guò)濾tcp,udp及端口號(hào)?？梢允褂胹rc|dst和tcp|udp關(guān)鍵詞來(lái)確定來(lái)自源還是目標(biāo)，tcp協(xié)議還是udp協(xié)議。tcp|ud

27、p必須出現(xiàn)在src|dst之前。less|greater <length> 選擇長(zhǎng)度符合要求的包。（大于等于或小于等于）ip|ether proto <protocol> 選擇有指定的協(xié)議在以太網(wǎng)層或是ip層的包ether|ip broadcast|multicast 選擇以太網(wǎng)/ip層的廣播或多播<expr> relop <expr> 創(chuàng)建一個(gè)復(fù)雜過(guò)濾表達(dá)式，來(lái)選擇包的字節(jié)或字節(jié)范圍符合要求的包。請(qǐng)參考. 自動(dòng)過(guò)濾遠(yuǎn)程通信如果Wireshark是使用遠(yuǎn)程連接的主機(jī)運(yùn)行的(例如使用SSH,X11 Window輸出，終端服務(wù)器)，遠(yuǎn)程連接

28、必須通過(guò)網(wǎng)絡(luò)傳輸，會(huì)在你真正感興趣的通信中產(chǎn)生大量數(shù)據(jù)包(通常也是不重要的)想要避免這種情況，wireshark可以設(shè)置為如果發(fā)現(xiàn)有遠(yuǎn)程連接(通過(guò)察看指定的環(huán)境變量)，自動(dòng)創(chuàng)建一個(gè)過(guò)濾器來(lái)匹配這種連接。以避免捕捉Wireshark捕捉遠(yuǎn)程連接通信。下列環(huán)境變量可以進(jìn)行分析SSHCONNECTION(ssh) <remote IP> <remote port> <local IP> <local port>SSH_CLIENT (ssh) <remote IP> <remote port> <local port>REMOTEHOST (tcsh, others?) <remote name>DISPLA