wireshark初使用

最新推荐文章于 2025-10-31 04:59:09 发布

原创最新推荐文章于 2025-10-31 04:59:09 发布 · 633 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#wireshark

wireshark的使用

基本使用

wireshark的基本使用分为：数据包筛选、数据包搜索、数据包还原、数据提取

捕捉过滤器语法

语法：<Protocol><Direction><Host(s)><Logical Operations><Other expressinon>
Protocal（协议）：ether,fddi,ip,arp,rarp,decnet,lat.sca,moprc,mopdl,tcp,udp等
Direction（方向）：src（源地址），dst（目的地址），src and dst,src or dst，默认src or dst
Host(s)：net,port,host,portrange 默认“host” 其中“src 10.1.1.1”与“src host 10.1.1.1”等价
Logical Operation(逻辑运算)：not（优先级最高）,and,or

常见使用的捕获过滤语句

port 80 and http #捕获所有经过该接口的http流量。如果HTTP端口80是8080，就把80改成8080
not port 80 and !http # 捕获除 http 之外的其他所有流量
dst 192.168.4.155 #捕获目的主机均为192.168.4.155
src 192.168.4.155 #捕获来源主机均为132.168.4.155
net 192.168.4.0/24 #捕获网段为192.168.4的所有主机的所有流量
port 53 #捕获接口中的所有主机的DNS流量 sip的默认端口是5060 ，ssh的默认端口是22，电子邮件协议（SMTP,POP3,IMAP4）的端口是25且portrange 110-143
src 192.168.4.155 and port 53 #只捕获主机192.168.4.155 对外的DNS的流量
dst 192.168.4.155 and port 53 #只捕获DNS服务器相应主机192.168.4.155的DNS流量
(!)arp #捕获接口中的所有（非）arp请求
tcp portrange 8000-9000 and port 80#捕获端口8000-9000之间和80端口的流量
vlan and host 192.168.4.155 and port 80 #捕获vlan中主机192.168.4.155.局域网中有vlan
vlan #捕获所有的Vlan流量
pppoes and host 192.168.4.155 and port 80 #捕获主机
pppoes #捕获所有的pppoes流量

参考博客：https://blog.youkuaiyun.com/king_cpp_py/article/details/80815733

数据包筛选

源ip筛选：ip.src == 地址
目的ip筛选： ip.dst == 地址
筛选目标MAC地址： eth.dst == A0:00:00:04:C5:84
筛选MAC地址： eth.addr == A0:00:00:04:C5:84
tcp.dstport == 80 #筛选tcp协议的目标端口为80的流量包
udp.srcport == 80 #筛选udp协议的源端口为80的流量包

协议筛选

筛选协议为tcp/udp/arp/icmp/http/ftp/dns/ip的流量包

包长度筛选

upd.len(gth) =(>)= 20 #筛选长度为（大于）20的udp流量包
frame.len == 20 #筛选长度为20的整个流量包

http筛选请求

http.request.method == “GET(POST)” #筛选HTTP请求方法为GET(POST)的流量包
http.request.method == “/img/logo-edu.gif” #筛选HTTP请求的URL为/img/logo-edu.gif的流量包
http contains(matches) “password” #筛选HTTP内容为password的流量包（请求或响应中包含特定内容）

数据包搜索

在wireshark界面按“Ctrl+F”进行关键字搜索，它的搜索功能支持正则表达式、字符串、十六进制等方式进行搜索。

区域分布

在这里插入图片描述

数据包还原

在wireshark中，存在一个交追踪流的功能，可以将HTTP或TCP流量集合在一起并还原成原始数据。
即选中想要还原的流量包，右键选中，选择追踪流 – TCP流/UPD流/SSL流/HTTP流。之后可以在弹出的窗口中看到被还原的流量信息。

数据提取

Wireshark支持提取通过http传输(上传/下载)的文件内容

选中http文件传输流量包，在分组详情中找到data或者Line-based text data:text/html层，鼠标右键点击 – 选中“导出分组字节流”。
如果是菜刀下载文件的流量，需要删除分组字节流前开头和结尾的X@Y字符，否则下载的文件会出错。鼠标右键点击 – 选中“显示分组字节”。

排查异常流量

看Ip的发包数量，统计ipv4——statistics
攻击者：统计发包最高的（但是有可能会是伪造的ip）
受害者：统计接受包和发包（响应）最高的
过滤出（可疑IP）客户端和服务端的交互信息
ip.addr = = xxx.xxx.xx.xxx && ip.addr ==xxx.xxx.xx.xxx
判断是否有hacker在进行web扫描，可以使用如下语句
http.response.code == 404 #如果有hacker在进行web扫描，就可以看到有大量从服务器80端口返回给hacker ip的404响应包