运维之网络安全抓包—— WireShark 和 tcpdump

为什么要抓包？何为抓包？

抓包（packet capture）就是将网络传输发送与接收的数据包进行截获、重发、编辑、转存等操作，也用来检查网络安全。抓包也经常被用来进行数据截取等。为什么要抓包？因为在处理 IP网络的故障时，经常使用以太网抓包工具来查看和抓取 IP网络上某些 端口或某些网段的数据包，并对这些数据包进行分析，定位问题。

一：WireShark工具：

　　Wireshark是一个非常好用的抓包工具，当我们遇到一些和网络相关的问题时，可以通过这个工具进行分析，不过要说明的是，这只是一个工具，用法是非常灵活的。

　　1、过滤器的区别

　　　　捕捉过滤器（CaptureFilters）：你要抓什么包。需要在开始捕捉前设置。 

           显示过滤器（DisplayFilters）：抓完包之后你要过滤掉不需要的包，查看自己想要的包。

　　2、捕捉过滤器的语法：

　　　　语法：　　Protocal | Direction | Host(s) | Value | Logical Operations | Other expression

　　　　例子：　　   tcp　　　　dst　　  1.1.1.1　 80　　     and　　　　　　  　tcp dst 2.2.2.2

　　语法说明：

　　Protocal（协议）：可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp. 如果没有特别指明是什么协议，则默认使用所有支持的协议。

　　Direction（方向）：可能的值: src, dst, src and dst, src or dst。如果没有特别指明来源或目的地，则默认使用 “src or dst” 作为关键字。例如，”host 10.2.2.2″与”src or dst host 10.2.2.2″是一样的。 

　　Host(s)（主机）：可能的值： net, port, host, portrange，如果没有指定此值，则默认使用”host”关键字。例如，”src 1