软件概述:Wireshark是目前全球使用最广泛的开源抓包软件(前身为Ethereal),由Gerald Combs编写并于1998年以GPL开源许可证发布
软件功能:
- 分析网络底层协议
- 解决网络故障问题
- 找寻网络安全问题
相关网址:可学习
Chappell University | Wireshark Training
抓包原理:
哪种网络情况能够抓到包?
本机环境:直接抓包本机网卡进出流量
集线器环境:流量泛洪,同一冲突域
交换机环境:
- 端口镜像:将一端口的流量复制一份转发到另一接口
- ARP欺骗:利用攻击手段将自己伪装成目的主机达到获取流量进行抓包
- MAC泛洪:利用攻击手段,发送大量mac地址给交换机,交换机的mac地址表被装满了之后就会把之前的mac地址表项丢弃(根据设备,有些设备是不再学习新的mac那么也就是等待真实mac时间老化,之后交换机就会将数据进行广播发送)
抓包的底层架构是怎样的?
GTK1/2:图像处理工具,处理用户的输入输出显示
Core:核心引擎,通过函数调用将其他模块连接在一起,起到联动调度的作用
Wiretap:格式支持,从抓包文件中读取数据包,支持多种文件格式
Capture:抓包引擎,利用libpcap/WinPcap从底层抓取网络数据包,libpcap/WinPcap提供了通用的抓包接口,能从不同类型的网络接口(ATM、以太网等等)抓取流量
Win-/libpcap:Wireshark抓包时依赖的库文件