1、 内部公开1 / 24 内部文件，请勿扩散杭州迪普科技有限公司wireshark 抓包应用指导说明书拟制 雷振华 日期 2015.4.10评审人 日期签发 日期内部公开2 / 24 内部文件，请勿扩散内部公开3 / 24 内部文件，请勿扩散修订记录日期 修订版本 描述 作者2015.4.10 V1.0 初稿完成 雷振华内部公开4 / 24 内部文件，请勿扩散目 录1 WIRESHARK 介绍 .52 功能介绍 .53 图形界面抓报文 .53.1 选择网卡抓报文 .53.2 显示报文抓取时间 .73.3 WIRESHARK 界面布局 .83.4 报文过滤条件 .93.4.1 常用过滤条件 .10
2、3.4.2 WIRESHARK EXPRESSION .113.4.3 高级过滤条件 .113.4.4 WIRESHARK CAPTURE FILTER.144 命令行抓报文 .154.1 选择网卡 .154.2 命令行过滤条件 .174.3 常用过滤条件 .175 批量转换报文格式 .18内部公开5 / 24 内部文件，请勿扩散1 Wireshark 介绍Wireshark 是开源网络包分析工具，支持 Windows/Linux/Unix 环境。网络包分析工具的主要作用是尝试捕获网络包，并尝试显示包的尽可能详细的情况。可以从网站下载最新版本的 Wireshark (http:/www.wir
3、eshark.org/download.html 。 Wireshark 通常在 4-8 周内发布一次新版本2 功能介绍Wireshark 支持图形和命令行两种抓报文方式3 图形界面抓报文3.1 选择网卡抓报文第一步 打开 wireshark 抓包软件，点击“CaptureInterfaces”, 如图 3-1内部公开6 / 24 内部文件，请勿扩散图 3-1 选择网卡第二步 选择抓包的网卡，点击”Strart“开始抓包，这样将抓取流经此网卡的所有报文，并临时保存在内存中。因此，如果持续抓包将消耗掉系统所有内存。如图 3-2 和图 3-3图 3-2 启动抓包内部公开7 / 24 内部文件，请勿
4、扩散图 3-3 抓包界面图标 说明重新抓报文停止抓报文表 1-13.2 显示报文抓取时间打开 wireshark 抓包软件，点击“ViewTimeDisplay FormatDate and Time of Day”，如图 3-4 和图 3-5内部公开8 / 24 内部文件，请勿扩散图 3-4效果图：图 3-53.3 Wireshark 界面布局Wireshark 界面主要分为三部分（如图 3-6），区域一显示抓取的报文，区域二显示选中报文的包头详细信息，区域三显示选中报文的详细信息，默认以十六进制显示。内部公开9 / 24 内部文件，请勿扩散图 3-6功能 说明区域一 显示抓取的报文区域二
5、显示选中报文的包头详细信息区域三 显示选中报文的详细信息，默认以十六进制显示Packets 抓取的所有报文计数Displayed 满足过滤条件的报文计数表 1-2内部公开10 / 24 内部文件，请勿扩散3.4 报文过滤条件Wireshark 能够根据应用的需要设置灵活方便的过滤条件，迅速筛选出符合条件的报文。Wireshark 的 Filter 过滤能够自动检测语法合法性，如果过滤条件设置正确，则 Filter 输入框为绿色，如果过滤条件设置错误，则 Filter 输入框为红色。如图 3-7图 3-73.4.1 常用过滤条件功能 说明ip.addr=10.23.7.113 源 IP 地址或目
6、的 IP 地址是 10.23.7.113 的报文ip.src=10.23.7.113 源 IP 地址是 10.23.7.113ip.dst=10.23.7.113 目的 IP 地址是 10.23.7.113ip.src=10.23.7.113 and ip.dst=10.23.7.113 报文源 IP 地址是 10.23.7.113 且目的 IP 地址是 106.28.142.181IPipudp/tcp.port=80 过滤 udp 或 tcp 源端口或目的端口是 80 的报文udp/tcp.srcport=40004 过滤 udp 或 tcp 源端口是 40004 的报文udp/tcp.dstport=80 过滤 udp 或 tcp 目的端口是 80 的报文tcp.srcport=40004 and tcp.dstport=80 过滤 tcp 协议源端口是 40004 且目的端口是 80 的报文tcp/udp/http 过滤 tcp/udp/http 报文
