wireshark抓包教程-2.docx

Wireshark抓包分析查找数据包按ctrl + F，弹出Find Packet 对话框Display filter 通过表达式进行筛选（NOT IP ip.addr= ARP） Hex value 输入十六进制数进行搜索 ( 00:ff ff:ff 00:AB:B1;f0 )String 输入字符串进行搜索 (Workstation 1 User A domain )2.设定捕获选项Interface Management :pipes（管道）、Local（本地）、Remote（远程）默认使用 promiscuous mode (混杂模式)Name Resolution(名字解析) ：数据链路层、网络层、传输层Display Options :实时更新数据包列表、进行自动滚动、屏蔽数据包数量3.使用过滤器用途：可以过滤掉你并不需要分析某个类型的流量。两种过滤器：捕获过滤器和显示过滤器捕获过滤器的BPF语法：限定词说明例子Type指出名字或数字意义host 、net、portDir.指明传输方向src、dstProto限定所要匹配的协议ether、ip、tcp、udp3种逻辑运算符：与（）、或（||）、非（!）例子：src 0 port 80 只针对源地址为0 和源端口或目的端口是80的流量进行捕获。常用捕获过滤器过滤器说明tcp[13]32=32设置URG位的TCP数据包tcp[13]16=16设置ACK位的TCP数据包tcp[13]8=8设置PSH位的TCP数据包tcp[13]4=4设置RST位的TCP数据包tcp[13]2=2设置SYN位的TCP数据包tcp[13]1=1设置FIN位的TCP数据包tcp[13]==18TCPSYN-ACK 数据包ether host 00:00:00:00:00:00流入或流出你MAC地址的流量!ether host 00:00:00:00:00:00不流入或流出你MAC地址的流量broadcast仅广播流量icmpICMP流量icmp[0:2]==0x0301ICMP目标不可达、主机不可达ip仅IPV4流量ip6仅IPV6流量udp仅UDP流量显示过滤器输入ARP，点击Apply，显示所有ARP数据包，选择Clear，显示所有数据包简单方法：选择Expression，显示如下：高级方法：操作符说明==等于！=不等于/大于/小于=/=大于或等于/小于或等于and两个条件需要同时满足or其中一个条件被满足xor有且仅有一个条件被满足not没有条件被满足常用显示过滤器：过滤器说明！tcp.port==3389排除远程控制端口（PS：黑客经常使用）tcp.flag.syn==1有SYN标志位的TCP数据包tcp.flag.rst==1有RST标志位的TCP数据包!arp排除ARP流量http所有HTTP流量tcp.port==23||tcp.port 21文本管理流量（telnet或ftp）smtp|| pop || imap文本email流量（SMTP、POP或IMAP）