Wireshark抓包教程
wireshark是一款抓包软件，比较易用，在平常可以利用它抓包，分析协议或者监控网络，是一个比较好的工具，因为最近在研究这个，所以就写一下教程，方便大家学习。
操作方法
- 01
这里先说Wireshark的启动界面和抓包界面 启动界面：
- 02
抓包界面的启动是 按file下的按钮
- 03
然后再点击 如下图所示
- 04
这个是网卡的显示，因为我有虚拟机所以会显示虚拟网卡，我们现在抓的是真实网卡上的包所以在以太网卡右边点击start 开始抓包
- 05
这个就是抓包的界面了（也是主界面） Wireshark主窗口由如下部分组成： 1. 菜单——用于开始操作。 2. 主工具栏——提供快速访问菜单中经常用到的项目的功能。 3. Fiter toolbar/过滤工具栏——提供处理当前显示过滤得方法。 4. Packet List面板——显示打开文件的每个包的摘要。点击面板中的单独条目，包的其他情况将会显示在另外两个面板中。 5. Packet detail面板——显示您在Packet list面板中选择的包的更多详情。 6. Packet bytes面板——显示您在Packet list面板选择的包的数据，以及在Packet details面板高亮显示的字段。 状态栏——显示当前程序状态以及捕捉数据的更多详情
- 06
1.菜单栏 主菜单包括以下几个项目: File ——包括打开、合并捕捉文件，save/保存,Print/打印,Export/导出捕捉文件的全部或部分。以及退出Wireshark项. Edit ——包括如下项目：查找包，时间参考，标记一个多个包，设置预设参数。（剪切，拷贝，粘贴不能立即执行。） View ——控制捕捉数据的显示方式，包括颜色，字体缩放，将包显示在分离的窗口，展开或收缩详情面版的地树状节点 GO ——包含到指定包的功能。 Analyze ——包含处理显示过滤，允许或禁止分析协议，配置用户指定解码和追踪TCP流等功能。 Statistics ——包括的菜单项用户显示多个统计窗口，包括关于捕捉包的摘要，协议层次统计等等。 Help ——包含一些辅助用户的参考内容。如访问一些基本的帮助文件，支持的协议列表，用户手册。在线访问一些网站，“关于”
- 07
过滤工具栏
- 08
这个和在工具栏上输入协议来查找包的结果是一样的，只是它方便点 在工具栏上输
- 09
点击 在此区域输入或修改显示的过滤字符，在输入过程中会进行语法检查。如果您输入的格式不正确，或者未输入完成，则背景显示为红色。直到您输入合法的表达式，背景会变为绿色。你可以点击下拉列表选择您先前键入的过滤字符。列表会一直保留，即使您重新启动程序。 · 注意： 1. 做完修改之后，记得点击右边的Apply(应用)按钮，或者回车，以使过滤生效。 2. 输入框的内容同时也是当前过滤器的内容（当前过滤器的内容会反映在输入框）
- 10
封包列表
- 11
1. 封包列表中显示所有已经捕获的封包。在这里您可以看到发送或接收方的MAC/IP地址，TCP/UDP端口号，协议或者封包的内容。如果捕获的是一个OSI layer 2的封包，您在Source（来源）和Destination（目的地）列中看到的将是MAC地址，当然，此时Port（端口）列将会为空。如果捕获的是一个OSI layer 3或者更高层的封包，您在Source（来源）和Destination（目的地）列中看到的将是IP地址。Port（端口）列仅会在这个封包属于第4或者更高层时才会显示。您可以在这里添加/删除列或者改变各列的颜色：Edit menu -> Preferences
- 12
封包详细信息 1. 这里显示的是在封包列表中被选中项目的详细信息。信息按照不同的OSI layer进行了分组，您可以展开每个项目查看。 2. ps：wireshark会用不难，难的是会看懂这些包（如果对这些包头信息不了解的可以自己去查查资料）
- 13
16进制数据 1. “解析器”在Wireshark中也被叫做“16进制数据查看面板”。这里显示的内容与“封包详细信息”中相同，只是改为以16进制的格式表述。 2. 在这里我们还要学会在大量的信息中过滤和分析我们需要的信息 3. 过滤： 4. 过滤器会如此重要。它们可以帮助我们在庞杂的结果中迅速找到我们需要的信息。 -- 捕捉过滤器：用于决定将什么样的信息记录在捕捉结果中。需要在开始捕捉前设置。显示过滤器：在捕捉结果中进行详细查找。他们可以在得到捕捉结果后随意修改。 5. 两种过滤器的目的是不同的。 6. 1.捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。 7. 2.显示过滤器是一种更为强大（复杂）的过滤器。它允许您在日志文件中迅速准确地找到所需要的记录。
- 14
1. 捕捉过滤器 捕捉过滤器的语法与其它使用Lipcap（Linux）或者Winpcap（Windows）库开发的软件一样，比如著名的TCPdump。捕捉过滤器必须在开始捕捉前设置完毕，这一点跟显示过滤器是不同的。设置捕捉过滤器的步骤是：- 选择 capture -> options。- 填写"capture filter"栏或者点击"capture filter"按钮为您的过滤器起一个名字并保存，以便在今后的捕捉中继续使用这个过滤器。- 点击开始（Start）进行捕捉。
- 15
显示过滤器 1. 通常经过捕捉过滤器过滤后的数据还是很复杂。此时您可以使用显示过滤器进行更加细致的查找。它的功能比捕捉过滤器更为强大，而且在您想修改过滤器条件时，并不需要重新捕捉一次。 语法：
- 16
您可以使用大量位于OSI模型第2至7层的协议。点击"Expression..."按钮后，您可以看到它们。比如：IP，TCP，DNS，SSH
