网络协议分析软件WireShark的使用

《网络协议分析软件WireShark的使用》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、网络协议分析软件WireShark的使用Wireshark（前称Ethereal）是一个网络封包分析软件。Wireshark前身是Ethereal，Ethereal和在Windows系统中常用的snifferpro并称网络嗅探工具双雄，不过和snifferpro不同的是Ethereal在Linux类系统中应用更为广泛。而Wireshark软件则是Ethereal的后续版本，他是2006年在Ethereal被收购后推出的最新网络嗅探软件，在功能上比前身更加强大。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封

2、包资料。网络封包分析软件的功能可想像成"电工技师使用电表来量测电流、电压、电阻"的工作-只是将场景移植到网络上，并将电线替换成网络线。在过去，网络封包分析软件是非常昂贵，或是专门属于营利用的软件。Ethereal的出现改变了这一切。在GNUGPL通用许可证的保障范围底下，使用者可以以免费的代价取得软件与其程式码，并拥有针对其源代码修改及客制化的权利。Ethereal是目前全世界最广泛的网络封包分析软件之一。Wireshark网址:http://www.wireshark.org/。抓包步聚：安装打开后，点击Capture下面的

3、Options选项点击CaptureFilter按钮填写IP地址例如：host192.168.10.12然后单击Start按钮就可以运行你的程序了。等网络访问动作完成后，点Stop。然后看抓到的包。官方主页：http://www.wireshark.org/Wireshark是功能强大的网络数据捕获工具，他可以帮助我们分析网络数据流量，在第一时间发现蠕虫病毒，木马程序以及ARP欺骗等问题的根源。这个软件是开源代码的。可以在linux和windows下使用，在windows下编译需要安装cygwin。简单使用教程使用Wiresh

4、ark时最常见的问题，是当您使用默认设置时，会得到大量冗余信息，以至于很难找到自己需要的部分。◆设置Wireshark的过滤规则 在用Wireshark截获数据包之前，应该为其设置相应的过滤规则，可以只捕获感兴趣的数据包。Wireshark使用与Tcpdump相似的过滤规则，并且可以很方便地存储已经设置好的过滤规则。要为Wireshark配置过滤规则，首先单击“Capture”选单，然后选择“CaptureFilters...”菜单项，打开“Wireshark：CaptureFilter”对话框。因为此时还没有添加任何过滤规则

5、，因而该对话框右侧的列表框是空的(如图2所示)。在Wireshark中添加过滤器时，需要为该过滤器指定名字及规则。图4为Wireshark添加一个过滤器 例如，要在主机192.168.0.3和192.168.0.11间创建过滤器，可以在“Filtername”编辑框内输入过滤器名字“cjh”，在“Filterstring”编辑框内输入过滤规则“host192.168.0.3and192.168.0.11”，然后单击“新建”按钮即可。 在Wireshark中使用的过滤规则和Tcpdump几乎完全一致，这是因为两者都基于pcap库

6、的缘故。Wireshark能够同时维护很多个过滤器。网络管理员可以根据实际需要选用不同的过滤器，这在很多情况下是非常有用的。例如，一个过滤器可能用于截获两个主机间的数据包，而另一个则可能用于截获ICMP包来诊断网络故障。单击“保存”按钮，会到对话框。单击“关闭”按钮完成设置。1.指定过滤器 要将过滤器应用于嗅探过程，需要在截获数据包之前或之后指定过滤器。要为嗅探过程指定过滤器，并开始截获数据包，可以单击“Capture”选单，选择“Start...”选单项，打开“iterface”对话框，单击该对话框中的“Filter:”按钮

7、，然后选择要使用的网络接口，如图5所示。图5为Wireshark指定网络接口 l注意：在“CaptureOptions”对话框中，“Updatelistofpacketsinrealtime”复选框被选中了。这样可以使每个数据包在被截获时就实时显示出来，而不是在嗅探过程结束之后才显示所有截获的数据包。 在选择了所需要的过滤器后，单击“确定”按钮，整个嗅探过程就开始了。Wireshark可以实时显示截获的数据包，因此能够帮助网络管理员及时了解网络的运行状况，从而使其对网络性能和流量能有一个比较准确的把握。如图6。  图6Wire

8、shark实时显示截获的数据包CaptureOptions其他选项： Interface（接口） 这个字段指定在哪个接口进行捕获。这是一个下拉字段，只能从中选择Wireshark识别出来的接口，默认是第一块支持捕获的非loopback接口卡。如果没有接口卡，那么第一个默认就是