wireshark使用小技巧补充

前面的文章讲述了wireshark各种的使用场景，见这里。本文将补充说明下wireshark常见的使用技巧，掌握这些技巧有助于帮助我们了解wireshark内置的一些功能，加快数据包的分析速度。

协议的启用和禁用

wireshark默认情况下并不是所有的协议都是启用的，因此在某些情况下，如果某一层解码失败，可以查看是否某些协议解码没有启用，点击分析->启用的协议，如下图：

筛选未启用的协议，选中需要启用的协议，确认即可。wireshark一共支持多少种协议呢，在视图->内部->支持的协议中也可以有更为详细的统计wireshark所支持的协议，如下图：

可以看到wireshark4.X的版本支持的协议数量搞到2800+。

字符查找

wireshark提供了多种方式的查找，即显示过滤器匹配，16进制匹配，字符串匹配，正则匹配等四种方式，CTL+F如下图所示：

可以根据自身需求，在整个数据包中匹配需要的字段和数据，快速定位字符所在数据包。

HTTP重组

wireshark的默认配置会让初学者有些困惑，如下图是HTTP响应包含多个数据包的场景：

对于HTTP的响应来说，应该是HTTP协议头先传输然后是HTTP的body部分，但是在wireshark默认的情况下，会如上图中所示，将若干个TCP的segment重组之后，在最后一个HTTP的数据包显示重组的结果。这样会给初学者一个错误的暗示协议头是在第1079个数据包中，实际上协议头部是在第221个数据包中，通过设置如下图的选项：

则会得到下图的结果：

在分析HTTP数据的时候，后一种的显示方式可能更容易让初学者理解。

保存常用过滤条件

在wireshark 编辑->首选项中可以添加配置经常使用的复杂过滤条件，如下图：

添加完常用的过滤器之后取个名字，该过滤器会在右上角的位置显示，需要的时候直接点击即可。虽然右上角的三角号也会记录历史的过滤条件，但是数量有限，老的过滤条件会被新的过滤掉件覆盖。因此对于复杂常用的过滤器，建议在此添加。也可以在上述的过滤器工具栏编辑后，然后点击右方的箭头进行过滤条件的存储。

wireshark快捷键和关键路径

在wireshark关于中，提供了wireshark默认的快捷键和功能的映射表，以及各种关键的路径，如下图

流量分类

wireshark 提供了一种快速的粗粒度的流量分类方法，如下图：

通过选中对话过滤器->TCP，则会过滤出同一条TCP流的流量，并在上方的过滤器工具栏显示具体的过滤条件（这与追踪流并显示wireshark内置的流ID不同）。同样的，选中IPV4则会过滤同一对IP之间的流量，选中Ethernet则会过滤出同一对MAC之间的流量。这其中涉及的流，对话，会话等概念详见之前的文章，这里。

添加显示列

在分析一些特定协议的时候，可以灵活的编辑显示的列来突出关键的信息，如下图所示：

通过在首选项->外观->列中添加http的host并勾选，则会在上图的类中展示http的host，这样方便突出关键信息。也可以添加流的编号作为一列，field的值为tcp.stream，这样在抓包的情况下，能够快速的发现是否有新流的建立。

协议分层统计

wireshark提供了按照协议的类别将数据分类的功能，选中统计->协议分级，如下图所示：

通过上图可以看到各种协议的占比，这提供了一种对于观察异常流量的快速方法

wireshark着色功能

wireshark 提供的着色功能十分的有用，能够将需要关注的数据包高亮出来，视图->着色规则，如下图设置：

新增一个名称为http erro的着色规则，当http的响应码为4XX和5XX的时候，高亮对应的数据包为红色，就能够在分析的时候起到提醒的作用。可以在此处添加任何需要高亮的数据包和对应的显示过滤器，例如sip.Status-Code > 300 可以高亮出来表示SIP的错误，smb.nt_status > 0以及smb2.nt_status > 0可以高亮出来表示SMB的错误。

地理位置信息

如果想要显示IP的地理位置信息，需要导入对应的IP和地址关系的数据库，wireshark目前支持MaxMind的Geo数据格式，配置->首选项，如下图：

从maxmind官网下载免费版本的数据库，添加路径即可。

应用层端口设置

应用层协议的解析，wireshark内部会基于端口进行识别，如果应用层协议使用的不是常用端口，例如HTTP使用的不是80端口，需要在协议配置中添加对应的端口，这样wireshark会将该端口的数据解码为HTTP，配置->首选项，如下图：

可以看到HTTP的默认配置中，也支持常见的其他非80端口的HTTP数据包解析。

IP掩码过滤

wireshark支持子网掩码格式的数据过滤方式，如下图：

如果关注的是数据内容的分析，往往需要过滤重传包，对应的过滤条件如上图后半段所示。

本文为优快云村中少年原创文章，未经允许不得转载，博主链接这里。