【Wireshark数据分析实战】 - 指南

Wireshark数据分析实战

概述

Wireshark——网络工程师的“示波器”

Wireshark关键概念

• Wireshark 是网络包分析工具。网络包分析程序的主要作用是尝试捕获网络包， 并尝试显示包的尽可能详细的情况。
• Wireshark 不会处理网络事务，它仅仅是“测量”(监视)网络。Wireshark 不会发送网络包或做其它交互性的事情。
• Wireshark 是开源软件方案，不用担心版权问题。

Wireshark常见应用

• 网络管理员用来解决网络问题
• 网络安全工程师用来检测安全隐患
• 开发人员用来测试协议执行情况
• 用来学习网络协议

获取Wireshark

Wireshark协助win平台、mac平台和unix平台。这里都以win平台为例
通过访问：https://www.wireshark.org/download.html能够获取win平台安装包。

安装wireshark

win平台：双击“Wireshark-win64-2.6.2.exe”即可。安装过程中需安装WinPcap， WinPcap(windows packet capture)是windows平台下一个免费，公共的网络访问系统。可为win应用程序提供访问网络底层的能力。
Linux平台：sudo apt-get install wireshark wireshark-qt

Wireshark官方教程

http://wiki.wireshark.org/
https://www.wireshark.org/#learnWS
https://www.wireshark.org/docs/wsug_html/ or
https://www.wireshark.org/download/docs/user-guide.pdf

其他资料

http://openmaniak.com/cn/wireshark_filters.php

网路基础

7层OSI参考模型


数据流向：
1.在网络上传输的初始数据首先从传输网络的应用层开始，沿着 OSI 参考模型的七层逐层向下，直到物理层。
2.在这一层传输网络物理
媒介会将数据发送到接收
系统。
3.接收系统从它的物理层
获取到传输数据，继而向
上逐层处理，直到最高的
应用层。

Wireshark基础

主窗口

配置方案
可以快速切换Wireshark工作模式而无需手动设置选项。

通过“编辑——配置文件”可以查看并编辑配置方案。
通过右下角点击Profile可快速选择部署方案。

一个配置方案囊括以下内容：

• Preferences 参数选项。
• Capture filters 捕获过滤器。
• Display filters 表明过滤器。
• Coloring rules 着色规则。
• Disabled protocols 已禁用的协议。
• Forced decodes 强制解码。
• Recent settings 最近设置，比如窗格大小、菜单设置和列宽。
• Protocol-specific tables 针对特定协议的表格，例如SNMP 用户和自定义HTTP 头。

捕获数据
打开软件时捕获：
通过点击网卡名称即可开始捕获

打开软件后捕获：
点击“蓝色鲨鱼旗”或者点击“捕获——开始”开始捕获资料。

停止捕获数据：
点击“红色方框”或者点击“捕获——停止”停止捕获信息。

分析数据1
搜索数据：
直接Ctrl+F许可打开搜索条。

以搜索“字符串”为例，
左边需要选择分组详情或分组字节流。
对应的英文为packet details或packet
Bytes。
输入字符串，点击查找即可查找数据。

标记数据：
在packet list窗口，选中内容，右击后
点击标记或者Ctrl+M。

标记数据的意义：
可快速切换：Shift-Ctrl-N和Shift-Ctrl-B
导出时只导出标记数据，减少素材体积

分析数据2
设置时间表现格式：
点击“视图——时间展示格式”，选择
你喜欢的时间格式。

捕获过滤器和显示过滤器
捕获过滤器
当进行数据包捕获时，只有那些满足给定的包含/排除表达式
的数据包会被捕获。用来节省不需要的数据包占用的处理器和
存储资源。

打开捕获过滤器窗口
借助点击“捕获——捕获过滤器”打开捕获过滤器窗口，这里
展示了一些常见的捕获过滤器规则。

使用捕获过滤器
点击“捕获——选项”在捕获过滤器输入规则。如右图，点
击开始即可仅捕获port为22的包。