0x01 Wireshark使用

首先从官网根据自己的环境下载对应的软件版本，然后安装即可。

1
https://www.wireshark.org/

接下来打开Wireshark，可以看到设别的网卡信息，选择需要抓包的网卡双击即可。

或者按Ctrl+K，勾选需要抓包的网卡，一般情况都会选择WLAN点击Start开始抓包。从流量波形图可以看到弯曲起伏则表示有流量，直线则没有流量。

image-20201002190225228

0x02 Wireshark语法

1.过滤MAC地址

eth.addr == 00:71:cc:9a:28:93//过滤目标或源地址是00:71:cc:9a:28:93的数据包

eth.src == 00:71:cc:9a:28:93//过滤源地址是00:71:cc:9a:28:93的数据包

eth.dst == 00:71:cc:9a:28:93//过滤目标地址是00:71:cc:9a:28:93的数据包

2.过滤VLAN

vlan.id == 1024 //过滤VLANID为1024的数据包

vlan.id_name ==yunzui //过滤VLAN名为1024的数据包

3.IP过滤

//源地址过滤

ip.src == 8.8.8.8

ip.src eq 8.8.8.8

//目标地址过滤

ip.dst == 8.8.8.8

ip.dst eq 8.8.8.8

//ip地址过滤。不论源还是目标

ip.addr == 8.8.8.8

ip.addr eq 8.8.8.8

4.端口过滤

tcp.port == 8888

udp.port eq 8888

tcp.dstport == 8888// 只显tcp协议的目标端口8888

tcp.srcport == 8888// 只显tcp协议的来源端口8888

//过滤端口范围

tcp.port >= 1 andtcp.port <= 8888

5.常用协议过滤

tcp //只显示TCP协议的数据流

udp //只显示UDP协议的数据流

arp //只显示ARP协议的数据流

icmp //只显示ICMP协议的数据流

http //只显示HTTP协议的数据流

smtp //只显示SMTP协议的数据流

ftp //只显示FTP协议的数据流

dns //只显示DNS协议的数据流

……

排除HTTP包，如!http 或 not http

6.HTTP模式过滤

http.request.method== “GET”

http.request.method== “POST”

http.request.uri ==“/img/logo-edu.gif”

http contains “GET”

http contains“HTTP/1.”

// GET数据包

http.request.method== “GET” && http contains “Host: ”

http.request.method== “GET” && http contains “User-Agent: ”

// POST数据包

http.request.method== “POST” && http contains “Host: ”

http.request.method== “POST” && http contains “User-Agent: ”

// HTTP请求数据包

http.request.method== “POST” && http contains “Java/1.8.0_121”

// HTTP响应数据包

http contains“HTTP/1.1 200 OK” && http contains “Content-Type: ”

7.运算符

less than：lt

less and equal：le

equal：eq

great then：gt

great and equal：ge

not equal：ne

8.连接符

and，or

如tcp.port == 8888 andip.addr = 88.88.88.88

0x03 Wireshark功能

1.数据包的结构

第1行：数据包整体概述，内容比较多

第2行：数据链路层详细信息，主要为mac地址

第3行：网络层详细信息，主要的是双方的IP地址

第4行：传输层的详细信息，主要的是双方的端口号

第5行：TCP或UDP是传输的DATA，DNS这是域名的相关信息

image-20201002190520816

2.wireshark着色规则

在菜单栏中点开视图中的着色规则就可以看到