Wireshark的使用

一、简介

抓包相关的软件有：

1. sniffer
2. Omnipeek
3. fiddler
4. Httpwatch
5. 科来网络分析系统

1、抓包原理

（1）网络原理

本机环境：wireshark抓取本机环境的某个网卡进出的流量

集线器环境：集线器是个物理层设备，所有端口处在一个冲突域，会抓取所有集线器的上流量

交换机环境：

（1）端口镜像：交换机上配置镜像端口，抓取镜像端口的流量

（2）ARP欺骗：

本机收到ARP请求后，回复一个假的ARP回应，欺骗主机

（3）MAC泛洪

本机产生大量的MAC地址给交换机，使交换机的MAC地址表爆满，导致别的机器无法在交换机上查到正确的MAC表信息。

2、底层原理

wireshark分为以下几个组件

（1）GTK1/2：显示出底层抓取的流量格式

（2）core：核心引擎，通过函数调用将其他模块连接在一起，起到联动调度的作用

（3）wiretap：格式支持，从抓包文件中读取数据包，支持多种文件格式

（4）Capture：捕包引擎，利用libpcap/WinPcap从底层抓取网络数据包，libpcap/WinPcap提供通用的抓包接口，能从不同类型的网络接口（包括以太网，令牌环网，ATM网等）获取数据包

（5）Win-/libpcap：Wireshark抓包时依赖的库文件

二、wireshark的使用

1、界面设置

（1）修改界面字体大小

（2）列设置

列设置可以增加、删除、修改需要显示的列选项

（3）时间设置

设置时间参考，当选择这个时间作为参考时间后，时间会归零，然后可以计算出下个某个时间点到这个行的时间，方便确定两个包的时间间隔，参考时间可以设置多个。

（4）名字解析功能

开启名字解析选项，可以对MAC地址解析、解析网络名称、解析传输层名称等，选项勾选之后，抓取的一些报文的IP地址或其他信息会直接显示成名称，增加可读性。比如：IP地址显示成域名