文章目录
一、Wireshark抓包介绍
1、WireShark简介
Wireshark是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。
2、 WireShark的应用
- 网络管理员使用Wireshark 来检测网络问题，
- 网络安全工程师使用Wireshark来检查资讯安全相关问题，
- 开发者使用Wireshark 来为新的通讯协议除错，
- 普通使用者使用Wireshark来学习网络协议的相关知识。
- 当然，有的人也会“居心叵测”的用它来寻找一些敏感信息…
3、 WireShark抓数据包技巧
- (1)确定Wireshark的物理位置。如果没有一个正确的位置，启动Wireshark后会花费很长的时间捕获一些与自己无关的数据。
- (2)选择捕获接口。一般都是选择连接到Internet网络的接口，这样才可以捕获到与网络相关的数据。否则，捕获到的其它数据对自己也没有任何帮助。
- (3)使用捕获过滤器。通过设置捕获过滤器，可以避免产生过大的捕获数据。这样用户在分析数据时，也不会受其它数据干扰。而且，还可以为用户节约大量的时间。e
- (4)使用显示过滤器。通常使用捕获过滤器过滤后的数据，往往还是很复杂。为了使过滤的数据包再更细致，此时使用显示过滤器进行过滤。火
- (5)使用着色规则。通常使用显示过滤器过滤后的数据，都是有用的数据包。如果想更加突出的显示某个会话，可以使用着色规则高亮显示。
- (6)构建图表。如果用户想要更明显的看出一个网络中数据的变化情况，使用图表的形式可以很方便的展现数据分布情况。
- (7)重组数据。当传输较大的图片或文件时，需要将信息分布在多个数据包中。这时候就需要使用重组数据的方法来抓取完整的数据。Wireshark的重组功能，可以重组一个会话中不同数据包的信息，或者是重组一个完整的图片或文件。
二、Wireshark抓包入门操作
1、常见协议包
本节课主要分析以下几种协议类型。
- ARP协议
- ICMP协议
- TCP协议
- UDP协议
- DNS协议
- HTTP协议
2、查看本机要抓包的网络
- 输入指令ipconfig找到对应的网络
3、混杂模式介绍
- 混杂模式概述:混杂模式就是接收所有经过网卡的数据包，包括不是发给本机的包，即不验证MAC地址。普通模式下网卡只接收发给本机的包（包括广播包）传递给上层程序，其它的包一律丢弃。
- 一般来说，混杂模式不会影响网卡的正常工作，多在网络监听工具上使用。
4、如何开起混杂模式
三、Wireshark过滤器使用
1、开启以上的混淆模式，抓取接口上使用混杂模式直接进行抓包
-
例1：对TCP协议的包进行筛选
-
例2：筛选出ACK相关的包 。SYN=1、ACK=0：客户端请求向服务端建立连接。
-
例3：抓取指定条件的包。tcp.flags.fin == 1 当 FIN=1 时，表明数据已经发送完毕，要求释放连接
-
例4：筛选出ARP数据包
-
例5：筛选出udp属于传输层的数据包
我们使用过滤器输入“udp”以筛选出udp报文。但是为什么输入udp之后出现那么多种协议呢?原因就是oicq以及dns都是基于udp的传输层之上的协议 -
扩展:客户端向DNS服务器查询域名，一般返回的内容都不超过512字节，用UDP传输即可。不用经过三次握手，这样DNS服务器负载更低，响应更快。理论上说，客户端也可以指定向DNS服务器查询时用TCP，但事实上，很多 DNS服务器进行配置的时候，仅支持UDP查询包。
-
例6：http请求
-
例7：dns数据包
-
例8：数据包条件筛选
其实我们不仅可以对协议类型进行筛选，我们还有跟多的筛选条件，比如源地址目的地址等等例6:筛选源地址是192.168.1.53或目的地址是192.168.1.1
-
例9：本机向外发或接受的所有数据包
四、ARP协议
1、Arp协议解读
- 协议分析的时候我们关闭混淆模式，避免一些干扰的数据包存在常用协议分析-ARP协议(英语:Address Resolution Protocol，细与︰AKP) 是一个通过解析网层地址来找寻数据链路层地址的网络传输协议，它在IPv4中极其重要。ARP是通过网络地址来定位MAC地址。
- 主机向目标机器发送信息时，ARP请求广播到局域网络上的所有主机，并接收返回消息，以此确定目标的物理地址；收到返回消息后将该IP地址和物理地址，存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源。
2、分析ARP包
五、ICMP抓包与解读
1、先Ping一个地址，获得ICMP包
2、再筛选过滤icmp格式包
- 工作过程:
- 本机发送一个ICMP Echo Request的包
- 接收方返回一个ICMP Echo Reply，包含了接受到数据拷贝和一些其他指令
六、TCP的3次握手协议
1、清空数据包然后筛选tcp开始抓包
- 选中一个包，进行解读
七、TCP连接断开的4次挥手
我们分析一下过程，我们在终端输入EXIT实际上是在我们Kali 上执行的命令，表示我们SSHD的Server端向客户端发起关闭链接请求。
- 我们分析一下过程，我们在终端输入EXIT实际上是在我们Kali上执行的命令，表示我们SSHD的Server端向客户端发起关闭链接请求。
- 第一次挥手:
服务端发送一个[FIN+ACK]，表示自己没有数据要发送了，想断开连接,并进入FIN_WAIT_1状态 - 第二次挥手:
客户端收到FIN后，知道不会再有数据从服务端传来，发送ACK进行确认，确认序号为收到序号+1(与SYN相同，一个FIN占用一个序号)，客户端进入CLOSE_WAIT状态. - 第三次挥手:
客户端发送[FIN+ACK]给对方，表示自己没有数据要发送了，客户端进入LAST_ACK状态，然后直接断开TCP会话的连接，释放相应的资源。 - 第四次挥手:
服务户端收到了客户端的FIN信令后，进入TIMED_WAIT 状态并发迂
ACK确认消息。服务端在TIMED_WAIT 状态下，等待一段时间，没有数据到来，就认为对面已经收到了自己发送的ACK并正确关闭了进入 CLOSE状态，自己也断开了TCP连接，释放所有资源。当客户端收到服务端的ACK回应后，会进入CLOSE状态并关闭本端的会话接口，释放相应资源。
数据流的统计
八、wireshark常用过滤条件
1、常用条件
- ‘eq’和’==’ 等同
- and 并且
- or 或者
- ‘!’ 和’not’ 取反
2、针对IP地址过滤
- 1.源地址：ip.src == 192.168…
- 2.目的地址：ip.dst == 192.168.xx
- 3.不看源或目的地址：ip.addr == 192.168.xx
3、针对协议过滤
- 1.某种协议的数据包 直接输入协议名字
如：http - 2.排除某种协议
not tcp 或者 ！tcp
4、针对端口过滤
- 1.捕获某端口的数据包
tcp.port == 80
tcp.srcport == 80
tcp.dstport == 80 - 2.捕获多端口
udp.port >=2048
5、针对长度和内容过滤
- 1.长度过滤
data.len > 0
udp.lenth < 30
http.content_lenth <= 20 - 2.数据包内容过滤
http.request.uri matches “vipscu”(匹配http请求中含有vipscu字段的请求信息)