通过15张图带你掌握网络抓包工具Wireshark必备使用技巧
学习TCP/IP等网络协议时异常枯燥，因为网络问题看不见摸不着，很难深入理解其工作原理，而Wireshark正是将这些知识以一种网络数据包、可视化的形式呈现给大家，接下来博主带大家掌握Wireshark的必备技能！如有任何疑问，欢迎评论区留言~
1. Wireshark简介
Wireshark是一款最流行和强大的免费开源数据包抓包与分析工具，它通过调用PCAP来抓取网卡上的上下行网络数据包，并且可以查看网络数据包详细信息。
Wireshark在网络安全与取证分析中发挥重大作用，作为一款网络数据嗅探与协议分析器，已经成为网络运行管理、网络故障诊断、网络应用开发与调试的必用工具。
2. 界面功能介绍
wireshark有四个关键面板，具体功能介绍如下：
- 1. 显示过滤器（Display Filter）： 用于设置过滤条件进行数据包列表过滤；
- 2. 数据包列表（Packet List）： 显示捕获到的数据包，每个数据包包含编号，时间戳，源地址，目标地址，协议，长度，以及数据包信息。 不同协议的数据包使用了不同的颜色区分显示。
- 3. 数据包详细信息（Packet Details Pane）： 在数据包列表中选择指定数据包，在数据包详细信息中会显示数据包的所有详细信息内容。数据包详细信息面板是最重要的，用来查看协议中的每一个字段。各行信息分别为
- Frame：物理层的数据帧概况；
- Ethernet II：数据链路层以太网帧头部信息；
- Internet Protocol Version 4：网络层IP包头部信息；
- Transmission Control Protocol：传输层TCP的数据段头部信息，此处是TCP；
- Hypertext Transfer Protocol：应用层的信息，此处是HTTP协议；
- 4. 数据包字节（Packet Bytes）：此面板显示了数据包原始字节信息，每行包含数据偏移量、十六个十六进制字节和十六个ASCII字节。不可打印的字节将替换为句点（“.”）。
3. 必知使用技巧
3.1. 两种方式启动数据包捕获
方式一：菜单栏选择『捕获（Capture）』->『选项（Options）』，设置要捕获的网络适配器，点击『开始』即可启动数据包捕获。
为了精确捕获需要的数据包，我们可在捕获过滤器中输入捕获表达式。假设我们想要仅捕获进出IP地址172.18.5.4的流量，对应表达式为：172.18.5.4。
若想了解更多显示过滤器和捕获过滤器的语法和样例，可以参阅文末官方文档（附下载链接）。
注：捕获过滤器是提前设置好的过滤规则，只捕获符合过滤规则的报文，而先前介绍的显示过滤器是针对已经捕获的报文，过滤出符合过滤规则的报文。
方式二（推荐）：在上述『捕获』菜单栏中进行的操作也可以在工具栏进行，我比较喜欢用此方式，方便快捷。
3.2. 双击数据包列表中的记录可快速查看数据包详情
双击每一行记录，可以在弹窗中查看数据包详细信息。
HTTP请求是『请求-响应』式的，需求查看对应请求的响应时，可以在选中的数据包条目上右键，选择Follow -> HTTP Stream
3.3. 通过数据包符号提示快速搞清数据包用途
不同的数据包符号含义不同，记住这些符号对应的含义可以更快捷的找到你要分析定位的数据包。
举例说明：如下图所示，选中357数据包后，356数据包前面出现✓，表明357是对356数据包的确认。
3.4. 熟悉数据包着色规则方便快速区分数据所属协议
数据包列表区中不同的协议使用了不同的颜色区分。协议颜色标识定位在菜单栏『View（视图）』–>『Coloring Rules（着色规则）』。
如下所示，可快速根据着色规则，筛选需要的数据。可以粗略地看到，黑色背景代表报文的各类错误，红色背景代表各类异常情景，其它颜色代表正常。
比如黑色背景的Bad TCP：tcp.analysis.flags && !tcp.analysis.window_update代表了TCP解析出错，通常重传，乱序，丢包，重复响应都在此条规则的范围内。
由于篇幅有限，若想了解更多Wireshark使用技巧可以参阅如下官方文档：
- Wireshark 用户操作指导手册 V4.5.0.pdf (共374页，访问密码: 6277)
