一站式学习Wireshark（一）：Wireshark基本用法

按照国际惯例，从最基本的提及。

抓取报文:

下载和安装好Wireshark以后，启动Wireshark而且在接口列表中选择接口名，而后开始在此接口上抓包。例如，若是想要在无线网络上抓取流量，点击无线接口。点击Capture Options能够配置高级属性，但如今无此必要。

点击接口名称以后，就能够看到实时接收的报文。Wireshark会捕捉系统发送和接收的每个报文。若是抓取的接口是无线而且选项选取的是混合模式，那么也会看到网络上其余报文。

上端面板每一行对应一个网络报文，默认显示报文接收时间（相对开始抓取的时间点），源和目标IP地址，使用协议和报文相关信息。点击某一行能够在下面两个窗口看到更多信息。“+”图标显示报文里面每一层的详细信息。底端窗口同时以十六进制和ASCII码的方式列出报文内容。

须要中止抓取报文的时候，点击左上角的中止按键。

色彩标识:

进行到这里已经看到报文以绿色，蓝色，黑色显示出来。Wireshark经过颜色让各类流量的报文一目了然。好比默认绿色是TCP报文，深蓝色是DNS，浅蓝是UDP，黑色标识出有问题的TCP报文——好比乱序报文。

报文样本:

好比说你在家安装了Wireshark，但家用LAN环境下没有感兴趣的报文可供观察，那么能够去Wireshark wiki下载报文样本文件。

打开一个抓取文件至关简单，在主界面上点击Open并浏览文件便可。也能够在Wireshark里保存本身的抓包文件并稍后打开。

过滤报文:

若是正在尝试分析问题，好比打电话的时候某一程序发送的报文，能够关闭全部其余使用网络的应用来减小流量。但仍是可能有大批报文须要筛选，这时要用到Wireshark过滤器。

最基本的方式就是在窗口顶端过滤栏输入并点击Apply（或按下回车）。例如，输入“dns”就会只看到DNS报文。输入的时候，Wireshark会帮助自动完成过滤条件。

也能够点击Analyze菜单并选择Display Filters来建立新的过滤条件。

另外一件颇有趣的事情是你能够右键报文并选择Follow TCP Stream。

你会看到在服务器和目标端之间的所有会话。

关闭窗口以后，你会发现过滤条件自动被引用了——Wireshark显示构成会话的报文。

检查报文:

选中一个报文以后，就能够深刻挖掘它的内容了。

也能够在这里建立过滤条件——只需右键细节并使用Apply as Filter子菜单，就能够根据此细节建立过滤条件。

Wireshark是一个很是之强大的工具，第一节只介绍它的最基本用法。网络专家用它来debug网络协议实现细节，检查安全问题，网络协议内部构件等等。