跳到主要内容

一、Wireshark是什么

Wireshark 是使用最广泛的一款「开源抓包软件」，常用来检测网络问题、攻击溯源、或者分析底层通信机制。它使用 WinPCAP 作为接口，直接与网卡进行数据报文交换。

二、Wireshark抓包原理

  • 单机环境：直接抓取本机网卡流量
  • 交换机环境：通过端口镜像或 ARP 欺骗获取局域网流量

三、安装入门

  1. 选择网卡：双击网卡名开始抓包
  2. 停止抓包：点击红色按钮
  3. 保存数据：文件 → 保存

四、界面介绍

Wireshark 主界面包含6个部分：菜单栏、工具栏、过滤栏、数据包列表、数据包详情、数据包字节。

五、基础操作

显示列设置​

  • 添加列：选中字段 → 右键 →「应用为列」
  • 隐藏/删除列：右键列名操作

标记数据包​

  • 选中数据包 → 右键标记，或按 Ctrl + M

导出数据包​

  • 单个：文件 → 导出特定分组 → Selected packets only
  • 多个：标记后 → Marked packets only

混杂模式​

  • 捕获 → 选项 → 勾选「在所有接口上使用混杂模式」

六、过滤器操作

Wireshark 提供两种过滤器：

  • 抓包过滤器（BPF语法）：抓包前设置，决定抓哪些包
  • 显示过滤器：抓包后设置，决定显示哪些包

抓包过滤器（BPF 语法）​

四个核心元素：类型（host/net/port）、方向（src/dst）、协议（tcp/udp）、逻辑（&&/||/!）

src host 192.168.31.1
tcp || udp

显示过滤器​

五个核心元素：IP（ip.addr）、端口（tcp.port）、协议（tcp）、比较运算符（==/!=）、逻辑（and/or/not）

ip.addr == 192.168.32.121
tcp.port == 80