wireshark使用笔记

安装

• windows
  官网下载安装 https://www.wireshark.org/
• ubuntu

sudo add-apt-repository ppa:wireshark-dev/stable
sudo apt update
sudo apt install -y wireshark

抓包

• tcpdump抓包
  sudo tcpdump -i enp0s9 -w ./22.cap
  ifconfig查看网卡，然后-i 后面的参数填需要监控的网卡
• 通过wireshark实时查看
  通过“捕获”菜单可以实时查看报文

wireshark过滤器

可以使用过滤器来过筛选出符合条件的报文，例如：
((ip.src198.18.7.22 && (ip.dst198.18.7.101||ip.dst239.255.0.1))|| (ip.src198.18.7.101 && (ip.dst198.18.7.22||ip.dst239.255.0.1)))&&!ssh

• 协议过滤
  直接输入协议名称，如ssh，RTPS等
• ip过滤
  ip.src ：源ip
  ip.dst ：目标ip
  ip.addr ：源ip或者目的ip
• 端口过滤
  tcp.srcport ： tcp协议，源端口
  tcp.dstport ：tcp协议，目标端口
  tcp.port ： tcp协议，源端口或目标端口
  udp.srcport ：udp协议，源端口
  udp.dstport ：udp协议，目标端口
  udp.port ：udp协议，源端口或目标端口
• 更多
  多个条件组合，可以使用||，&&， 或者or， and
  可以在wireshark中右键选中指定的消息的某个条件，选择“准备作为过滤器”，就会自动将该条件准备好
  

报文分析

先按照从外到内看下网络报文结构

• 以太网帧
  

• IPV4结构：
  

• tcp结构
  

• udp结构
  

• wireshark报文
  
  以太网帧
  Destination：目的网卡的mac地址
  
  Destination：发送网卡的mac地址
  

参考：

https://mp.weixin.qq.com/s?__biz=MjM5Mzc2NjczMQ==&mid=2651891200&idx=2&sn=38fc36356f5320a4e6f7cf9035a3dc03&chksm=bcf08970d872f8e291a595cab00c9094fe65c99ad37b502954da739659f08043c9f2270f7810&scene=27

https://www.cnblogs.com/33debug/p/7352373.html