前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >工具的使用 | Wireshark使用详解

工具的使用 | Wireshark使用详解

作者头像
谢公子
发布2022-01-13 10:21:59
2.3K0
发布2022-01-13 10:21:59
举报
文章被收录于专栏:谢公子学安全谢公子学安全

目录

Wireshark

  • Wireshark的简单使用
  • 数据包的过滤
  • 数据流追踪
  • 专家信息说明
  • 数据包的统计分析
  • 导出对象——>HTTP
  • 数据包分析过程中的一些小技巧

WireShark

WireShark只要是学计算机的人应该都听过,也用过。一个非常好用的免费的抓包工具。Wireshark使用WinPcap作为接口,直接与网卡进行数据报文交换。

Wireshark的简单使用

双击选择了网卡之后,就开始抓包了

停止抓包后,我们可以选择保存抓取到的数据包。文件——> 另存为——>选择一个存储路径,然后就保存为后缀为 .pcap 格式的文件了,可以双击直接用wireshark打开。

数据包的过滤

数据包过滤是wireshark一个很实用的功能了,通常我们抓包会抓取到网卡通过的所有数据包。很多数据包对于我们来说是没用的,所以我们就需要对其进行过滤。数据包的过滤可以分为 抓取时过滤抓取后的过滤 。这两种过滤的语法不同!

抓取时过滤

捕获——>捕获过滤器,这是wireshark默认的一些捕获过滤器,我们可以参照他的语法,自己在左下角自己添加或者删除捕获过滤器

然后如果我们想抓取时对数据包过滤,捕获——>选择,然后选择我们要抓取数据包的网卡,在下面选择我们的过滤器。绿色的话表示语法没有问题,设置好了之后点击开始就可以抓取数据包了

抓取后的过滤

我们一般都是抓取完数据包后进行过滤的,在上方输入我们的过滤语法

代码语言:javascript
复制
过滤地址
ip.addr==192.168.10.10  或  ip.addr eq 192.168.10.10  #过滤地址
ip.src==192.168.10.10     #过滤源地址
ip.dst==192.168.10.10     #过滤目的地址
过滤协议,直接输入协议名
icmp
http
过滤协议和端口
tcp.port==80
tcp.srcport==80
tcp.dstport==80
过滤http协议的请求方式
http.request.method=="GET"
http.request.method=="POST"
http.request.uri contains admin   #url中包含admin的
http.request.code==404    #http请求状态码的
连接符
&&
||
and
or
通过连接符可以把上面的命令连接在一起,比如:
ip.src==192.168.10.10 and http.request.method=="POST"

数据流追踪

我们的一个完整的数据流一般都是由很多个包组成的,所以,当我们想查看某条数据包对于的数据流的话,我们就可以:右键——>追踪流,然后就会有TCP流、UDP流、SSL流、HTTP流。当你这个数据包是属于哪种流,就可以选择对应的流

当我们选择了追踪流时,会弹出该流的完整数据流。还有这个数据流中包含的数据包。顶部的过滤器就是该流的过滤规则

专家信息说明

功能:可以对数据包中特定的状态进行警告说明。

  • 错误(errors)
  • 警告(Warnings)
  • 标记(notes)
  • 对话(chats)

路径:分析——>专家信息

数据包的统计分析

分析一栏中,可以对抓取的数据包进行进一步的分析,比如抓取的数据包的属性、已解析的地址、协议分级等等。我就不一一列出来了

已解析的地址

功能:统计通信流量中已经解析了的地址

路径:统计——>已解析的地址

协议分级

功能:统计通信流量中不同协议占用的百分比

路径:统计->协议分级

统计摘要说明

功能:可以对抓取的数据包进行全局统计,统计出包的一些信息

路径:统计->捕获文件属性

导出对象——>HTTP

这个功能点非常有用,他可以查看并且导出HTTP流对象,这对于数据包分析非常有用!

数据包分析过程中的一些小技巧

  • 大量404请求——>目录扫描
  • 大量 select....from 关键字请求——>SQL注入
  • 连续一个ip的多端口请求或多个ip的几个相同端口请求——>端口扫描
  • 黑客通过爆破账户和密码,则是post请求 http.request.method==POST
  • 黑客修改文件, ip.addr==219.239.105.18 and http.request.uri matches "edit|upload|modify"
  • 如果是用菜刀连接的包,则是post请求 ip.addr==219.239.105.18 and http.request.method==POST

来源:谢公子的博客

责编:浮夸

本文参与 腾讯云自媒体同步曝光计划,分享自微信公众号。
原始发表:2020-01-18,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 谢公子学安全 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
目录
  • WireShark
    • Wireshark的简单使用
      • 数据包的过滤
        • 数据流追踪
          • 专家信息说明
            • 数据包的统计分析
              • 导出对象——>HTTP
                • 数据包分析过程中的一些小技巧
                领券
                问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档