Wireshark使用详解（分析三握四挥）

下载安装后进来的界面如下

这个界面列出了当前系统所包含的网卡，点击任何一项就可以开始监听了。

设置中文：

打开Preferences（快捷键command + ,）
如下设置

抓包分析TCP的三次握手，四次挥手：

tcp连接是基于ip和端口的

三握四挥图解

SYN包请求连接
ACK包确认应答
FIN包请求断开连接

测试步骤：
1.开始抓包
2.在终端中执行命令 ping www.baidu.com
3.用如下过滤表达式过滤显示本机和百度间的通信报文：

(ip.src==本机ip && ip.dst==目标ip) or (ip.src==目标ip && ip.dst==本机ip)

结果：

红框内的就是tcp建立连接的三次握手：
第一次握手（本机发送给百度）：SYN，seq=0
第二次握手（百度发送给本机）：SYN+ACK，seq=0，ack=1
第三次握手（本机发送给百度）：ACK，seq=1，ack=1

红框内的就是tcp断开连接的四次挥手：
第一次挥手（本机发送给百度）：FIN，seq=431
第二次挥手（百度发送给本机）：ACK，seq=942，ack=432
第三次挥手（百度发送给本机）：FIN，seq=942
第四次挥手（本机发送给百度）：ACK，seq=432，ack=943

如上是连接和断开连接的一般情况，此外还有三次挥手，即第二次挥手和第三次挥手合并为一次，发送FIN+ACK包。

如下为tcp状态转换图，实线表示客户端，虚线表示服务端。