如何使用Wireshark:一个完整的教程

什么是wireshark？

最初被称为Ethereal, Wireshark显示来自数百个不同的数据协议所有主要的网络类型。数据包可以实时查看或离线分析。Wireshark支持几十种捕获/跟踪文件格式，包括帽和ERF.．集成的解密工具显示多个常用协议的加密数据包，包括WEP.和WPA / WPA2．

如何下载并安装Wireshark

Wireshark可以免费从Wireshark Foundation网站适用于macOS和Windows。您将看到最新的稳定版本和当前的开发版本。除非您是高级用户，否则请下载稳定版本。

在Windows安装过程中，选择安装WinPcap或者NPCAP.如果提示，这些包括实时数据捕获所需的库。

您必须以管理员身份登录设备以使用Wireshark。在Windows 10中，搜索Wireshark并选择以管理员身份运行．在MacOS中，右键单击App图标并选择获取信息．在共享和权限设置，给管理员阅读和写入特权。

该应用程序也可用于Linux和其他Unix的平台包括Red Hat，Solaris和FreeBSD。这些操作系统所需的二进制文件可以在底部找到Wireshark下载页面在下面第三方包部分。您也可以从这个页面下载Wireshark的源代码。

如何使用wireshark捕获数据包

当您启动Wireshark时，欢迎屏幕列出了当前设备上可用的网络连接。每个页面的右侧显示的是一个心电图式的线形图，它代表了该网络上的实时流量。

要开始使用Wireshark捕获数据包：

1. 选择一个或多个网络，转到菜单栏，然后​​选择捕获．

   要选择多个网络，请长按转变当您选择的钥匙。

   

2. 在Wireshark Capture接口窗口，选择开始．

   还有其他方法可以启动数据包捕获。选择鱼翅在Wireshark工具栏的左侧，按Ctrl + E.，或双击网络。

   

3. 选择文件>另存为或选择一个出口选项来记录捕获。

   

4. 停止捕捉，按Ctrl + E.．或者，转到Wireshark工具栏并选择红色停止鲨鱼鳍旁边的按钮。

   

如何查看和分析数据包内容

捕获的数据接口包含三个主要部分:

• 数据包列表窗格(顶部部分)
• 数据包详细信息窗格（中间部分）
• 数据包字节窗格(底部部分)

数据包列表

位于窗口顶部的数据包列表窗格显示在活动捕获文件中找到的所有数据包。每个数据包有自己的行和相应的编号分配给它，以及每个数据点:

• 不：此字段表示哪些数据包是相同对话的一部分。在您选择数据包之前，它仍然为空。
• 时间:捕获数据包时的时间戳显示在此列中。默认格式是自首次创建此特定捕获文件的秒数或部分秒数。
• 来源：此列包含分组源自该数据包的地址（IP或其他）。
• 目的地：此列包含要发送数据包的地址。
• 协议：Packet的协议名称（如TCP）可以在此列中找到。
• 长度：数据包长度，以字节为单位显示在此列中。
• 信息：关于该包的其他细节在这里给出。根据数据包内容的不同，这个列的内容可能会有很大的不同。

要将时间格式更改为更有用的格式(例如一天中的实际时间)，请选择看法>时间显示格式．

当在顶部窗格中选择数据包时，您可能会注意到一个或多个符号出现在不。柱子。打开或封闭括号和直线线路指示数据包或数据包组是网络上的相同前后对话的一部分。破碎的水平线表示数据包不是对话的一部分。

数据包细节

在中间找到的详细信息窗格以可折叠格式呈现所选数据包的协议和协议字段。除了扩展每个选择外，您还可以根据具体的详细信息应用单个Wireshark过滤器，并通过右键单击所需的项目，根据协议类型遵循数据流。

数据包字节

底部是数据包字节窗格，它以十六进制视图显示所选数据包的原始数据。这十六进制转储包含16个十六进制字节和16个ASCII字节，与数据偏移一起。

选择此数据的特定部分会自动突出显示其在数据包详细信息窗格中的相应部分，反之亦然。任何无法打印的字节都由一段时间表示。

要以位格式显示此数据，而不是十六进制，请右键单击窗格中的任何位置并选择作为比特．

如何使用Wireshark过滤器

捕获过滤器指示Wireshark仅记录符合指定条件的数据包。过滤器也可以应用于已创建的捕获文件，以便仅显示某些数据包。这些被称为显示滤波器。

Wireshark缺省提供了大量的预定义过滤器。若要使用这些现有筛选器之一，请在应用显示过滤器入口字段位于Wireshark工具栏下方或输入捕获过滤器现场位于欢迎屏幕的中心。

例如，如果要显示TCP数据包，请键入TCP.．Wireshark自动完成功能会在你开始输入时显示建议的名称，这使得你更容易找到你正在寻找的过滤器的正确名称。

选择过滤器的另一种方法是选择书签在输入栏的左边。选择管理筛选器表达式或者管理显示过滤器添加、删除或编辑过滤器。

您还可以通过在输入字段右侧选择向下箭头来显示历史记录下拉列表来访问以前使用过的过滤器。

开始录制网络流量后立即应用捕获过滤器。要应用显示过滤器，请在“入口”字段的右侧选择右箭头。

Wireshark颜色规则

虽然Wireshark的捕获和显示过滤器限制了屏幕上录制或显示的数据包，但其着色函数进一步采用步骤：它可以基于其各个色调来区分不同的数据包类型。这将在数​​据包列表窗格中通过其行颜色快速找到某些数据包。

Wireshark提供了大约20条默认的着色规则，每一条都可以被编辑、禁用或删除。选择看法>着色规则为了了解每种颜色的含义。你也可以添加你自己的基于颜色的过滤器。

Wireshark的统计数据

可以通过其他有用的指标统计数据下拉菜单。其中包括关于捕获文件的大小和时间信息，以及从包对话分解到HTTP请求的负载分布等主题的许多图表和图表。

显示筛选器可以通过它们的接口应用于许多统计数据，结果可以导出为常见的文件格式，包括CSV，XML.和txt。

Wireshark高级功能

Wireshark还支持一些高级特性，包括用Lua编程语言编写协议解析器的能力。