-
WireShark简介
wireshark是非常流行的网络封包分析软件，功能十分强大。可以截取各种网络封包，显示网络封包的详细信息。使用wireshark的人必须了解网络协议，否则就看不懂wireshark了。为了安全考虑，wireshark只能查看封包，而不能修改封包的内容，或者发送封包。
wireshark能获取HTTP，也能获取HTTPS，但是不能解密HTTPS，所以wireshark看不懂HTTPS中的内容，如果我们要处理HTTP,HTTPS 可以使用Fiddler进行抓包, 其他协议比如TCP,UDP 也可以使用wireshark抓包分析。（后面我们以TCP/IP抓包为例）
-
Wires hark下载及其安装
-
下载：官网可能会下载比较慢，大家可以到自己的软件管家或腾讯管软件家;
-
安装：安装与基本软件安装流程一样.
-
Wire Shark的基本界面
-
WireShark 主要分为这几个界面
1. Display Filter(显示过滤器)， 用于过滤
2. Packet List Pane(封包列表)， 显示捕获到的封包， 有源地址和目标地址，端口号。 颜色不同，代表
3. Packet Details Pane(封包详细信息), 显示封包中的字段
4. Dissector Pane(16进制数据)
5. Miscellanous(地址栏，杂项)
-
使用技巧
-
对于初次使用过滤是非常重要的， 初学者使用wireshark时，将会得到大量的冗余信息，在几千甚至几万条记录中，以至于很难找到自己需要的部分。搞得自己怀疑人生。
-
过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。
-
过滤器有两种:
一种是显示过滤器，就是主界面上那个，用来在捕获的记录中找到所需要的记录
一种是捕获过滤器，用来过滤捕获的封包，以免捕获太多的记录。 在Capture -> Capture Filters 中设置
4.保存过滤
-
过滤表达式的规则
1. 协议过滤
比如TCP，只显示TCP协议。
2. IP 过滤
比如 ip.src ==192.168.1.102 显示源地址为192.168.1.102
ip.dst==192.168.1.102, 目标地址为192.168.1.102
3. 端口过滤
tcp.port ==80, 端口为80的
tcp.srcport ==80, 只显示TCP协议的源端口为80的。
tcp.srcport == 22, 目的端口位22
4. Http模式过滤
http.request.method=="GET", 只显示HTTP GET方法的。
5. 逻辑运算符为 AND/ OR
-
页面设置
如果自己对页面显示的颜色不满意，我们还可以自己修改。（在视图/着色规则）
-
封包详细信息 (Packet Details Pane)
这个面板是我们最重要的，用来查看协议中的每一个字段。
- Frame: 物理层的数据帧概况
- Ethernet II: 数据链路层以太网帧头部信息
- Internet Protocol Version 4: 互联网层IP包头部信息
- Transmission Control Protocol: 传输层T的数据段头部信息，此处是TCP
- Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协议
-
具体步骤抓包：
- 选择要抓包的连接
2.点击进去
3.设置过滤器
4.开始抓包
5.分析数据
-
数据分析以TCP的三路握手为例：
具体如下图：
1、第一次握手数据包：
客户端发送一个TCP，标志位为SYN，序列号为0， 代表客户端请求建立连接。 如下图
2、第二次握手的数据包
服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的ISN加1以.即0+1=1, 如下图
3、第三次握手的数据包
客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1, 如下图:
经历这三次握手，TCP就建立了连接
最后大家有兴趣也可以就这样自己分析四路断开的过程，在这里我就不一一例举了。
