WireShark使用说明PPT.ppt

WireShark使用,说明,编写人员,:,黄泽忠,培训目的,通过本课程的学习，您将能够：,了解,WireShark,的界面组成,熟悉,WireShark,的基本操作,适用对象：测试、开发、网络工程人员,概述,Wireshark,是网络包分析工具。网络包分析工具的主要作用是在接口实时捕捉网络包，并详细显示包的详细协议信息。,Wireshark,可以捕捉多种网络接口类型的包，哪怕是无线局域网接口。,Wireshark,可以打开多种网络分析软件捕捉的包，可以支持许多协议的解码。我们可以用它来检测网络安全隐患、解决网络问题，也可以用它来学习网络协议、测试协议执行情况等。,Wireshark,不会处理网络事务，它仅仅是“测量”,(,监视,),网络。,Wireshark,不会发送网络包或做其它交互性的事情。,安装注意事项,安装文件获取：,172.16.0.2softtooltoolsLib,抓包工具,在安装组件时候选择所有组件，界面风格建议选择,Wireshark,（,GTK2 user interface,）,安装注意事项,勾选下图选项，以支持多种其他网络包分析工具支持的文件格式。,安装注意事项,Wireshark,安装文件自带,WinPcap,最新版本，选择安装。,Wireshark,的使用,1,、,Wireshark,的主窗口,Wireshark,的使用,2,、网络数据流的监测接入点在被监测计算机上直接捕获；,利用集线器将被检测端口的数据分为多路进行捕获；,利用交换机的端口数据映射功能进行捕获；,Wireshark,的使用,3,、实时捕获数据包,使用按钮”,Capture Options”,开始捕获取,对话框，选择正确的,NIC,进行捕获；,注意：,windows,平台下不支持环回接口捕获，即接口列表中的第一个接口,Wireshark,的使用,3,、实时捕获数据包,设置捕获缓存大小（,Buffer size,）,设置写入数据到磁盘前保留在核心缓存中捕捉数据的大小。如果你发现丢包，可尝试增大该值。,设置网卡是否为混杂捕获模式（,Capture packets in promiscuous mode,）,指定,Wireshark,捕捉包时，设置接口是否为混合接收模式。,在非混杂模式下，,Wireshark,捕获满足以下条件的包：,含本网卡地址单播包、具有多播地址且与本网卡地址配置相吻合的数据包、广播包。,而在混杂模式下，,Wireshark,除捕获上述类型的数据包外，与本网卡地址配置不吻合的组播包也会被捕获下来。,设置捕获过滤规则,Wireshark,使用,libpcap,过滤语句进行捕捉过滤。,过滤语句的形式为：,not,primitive,and|or not,primitive,.,Wireshark,的使用,常用的基本单元,(,primitive,),类型：,src|dst host,过滤主机,ip,地址或名称。通过指定,src|dst,关键词来确定所关注的是源地址还是目标地址。如果未指定，则指定的地址出现在源地址或目标地址中的包会被抓取。,ether src|dst host,过滤主机以太网地址。通过指定关键词,src|dst,来确定所关注的是源地址还是目标地址。如果未指定，则指定的地址出现在源地址或目标地址中的包会被抓取。,tcp|udp src|dst port,frame.pkt_len10,lt,frame.pkt_len=,frame.pkt_len ge 0 x100,le,=,frame.pkt_len Save As.,菜单保存已捕获的数据包。,在保存时可以选择保存哪些包，以什么格式保存：,输入指定的文件名。,选择保存的目录。,选择保存包的范围。,通过点击“保存类型”下拉列表指定保存文件,的格式。,可以将,Wireshark,捕获的包保存为其默认格,式文件,(libpcap),，也可以保存为其他格式供其他工,具进行读取分析。比如保存文件时候选择格式,NA Sniffer,（,Windows,）,2.00 x(*.cap),以便,Sniffer,进,行读取分析。,点击,保存,(,S,),按钮保存。,Wireshark,的使用,合并数据包文件,有时候你需要将多个捕捉文件合并到一起。例如：如果你对多个接口同时进行捕捉，合并就非常有用。可以使用如下方法合并捕捉文件：,1,、从,File-Merge,，打开合并对话框。通过该对话框可以选择需要合并的文件，与当前打开的数据包文件进行合并。,可以通过以下三种方式合并：,将包插入已存在文件前、按时间顺序合并文件、追加包到当前文件。,2,、,使用拖放功能，将多个文件同时拖放到主窗口。,Wireshark,会创建一个临时文件尝试对拖放的文件按时间顺序进行合并。如果你只拖放一个文件，,Wireshark,只是简单地替换已经打开的文件。,Wireshark,的使用,文件集,在进行捕捉时如果设置,Multiple Files/,多文件,选项，捕捉数据会分割为多个文件，称为文件集合。大量文件手动管理十分困难，,Wirreshark,的文件集合特性可以让文件管理变得方便一点。,使用,File,菜单项的子菜单,File Set,可以对文件集合集合进行很方便的控制。如下图：,单击单选钮，当前文件会被关闭，同时载入对应的文件。,注意,:,前提是你目前打开的文件为文件集中的某个文件才能使”,File Set”,命令有效,Wireshark,的使用,导出数据,Wireshark,支持多种方法，多种格式导出包数据。从“,File-Export-File”,，打开导出数据对话框：,指定导出包数据的文件名。,选择文件保存路径。,选择文件保存类型。,导出包数据为文本文件，常用于打印,数据包；,导出包数据摘要为,CVS,格式，可以被,Excel,使用。常用来做相关统计；,选择需要导出的数据包范围。,选择保存按钮。,Wireshark,的使用,统计分析,Wireshark,提供了多种多样的网络统计功能。包括捕获数据包文件的基本信息,(,比如包的数量,),，对指定协议的统计,(,例如，统计包文件内,HTPP,请求和应答数,),等等。,统计摘要,统计摘要主要包括当前网络,数据包文件的一些基本信息。比,如文件名、文件大小、第一个包,和最后一个包的时间戳、网络传,输的相关统计等。如果设置了显,示过滤，统计信息会显示成两列,。,Captured,列显示过滤前的信息,，,Displayed,列显示过滤后对应的,信息。,Wireshark,的使用,会话统计,一个网络会话，指的是两个特定端点之间发生的通信。例如，一个,IP,会话是两个,IP,地址间的所有通信。,从“,Statistics-Conversations”,，打开会话统计信息窗口。在该窗口中，每个支持的协议，都显示为一个选项卡。选项标签显示被捕捉端点数目,(,例如：“,Ethernet:30”,表示有,30,个,Ethernet,端点被捕捉到,),。如果某个协议没有端点被捕捉到，选项标签显示为,灰色。,列表中每行显示单个端点的统计,信息。,Wireshark,的使用,流量统计曲线图：,从,Statistics-IO Graphs,，打开流量统计信息窗口。,Wireshark,根据用户配置生成曲线图。用户可以对一下内容进行设置：,Graphs,Graph 1-5:,开启,1-5,图表,(,默认仅开启,graph 1),Color:,图表的颜色,(,不可修改,),Filter:,指定显示过滤器,Style:,图表样式,(Line/Impulse/FBar),X Axis,Tick interval,设置,X,轴的每格代表的时间,(10/1/0.1/0.01/0.001 seconds),Pixels per tick,设置,X,轴每格占用像素,(10/5/2/1 pixels),Y Axis,Unit y,轴的单位Packets/Tick,Bytes/Tick,Bits/Tick,Advanced.),Ssale Y,轴单位的刻度,(10,20,50,100,200,500,.),Wireshark,的使用,服务响应时间,服务响应时间是发送请求到产生应答之间的时间间隔。响应时间在很多协议中可用，比如,H.225 RAS,。从,Statistics-Service Response Time,，选择所要查看的协议类型，打开服务响应时间信息窗口。下图为,H.225 RAS,服务响应时间,.,Wireshark,的使用,FQA,：,使用接口列表中默认的第一个接口时候，为什么捕获不到数据？,接口列表中的第一个接口为环回接口，,Wireshark,在,windows,平台下不支持环回接口捕获。选择正确的接口然后进行数据包捕获。,在接口列表中显示多个接口，如何确定哪个接口为本,pc,的网卡？,选择,Capture-,Interface,，可以在,Interface,对话框中根据接口的,IP,地址来确定,PC,所对应的网卡。,为何在非混杂模式下，,Wireshark,依然捕获到不希望看到的网络包？,在非混杂模式下可捕获含本网卡地址单播包、具有多播地址且与本网卡地址配置相吻合的数据包、广播包。而在混杂模式下，,Wireshark,除捕获上述类型的数据包外，与本网卡地址配置不吻合的组播包也会被捕获下来。,如果有其他应用程序将网卡设置成混杂模式的话，,Wireshark,只能在混杂模式下进行捕获，虽然当前,Wireshark,设置为非混杂模式进行捕获。比如,ifconfig,指令会把网卡设置成混杂模式。,