Wireshark网络检测指南

安装 Wireshark

需要从 Wireshark 官方网站下载并安装相应平台的版本：

• Windows：访问 Wireshark官方下载页面，选择合适的 MSI 文件安装。
• Linux：通过包管理器安装，Ubuntu 使用 apt-get install wireshark。
• MacOS：通过 dmg 文件安装。

安装完成后,启动 Wireshark，记住可能需要管理员权限进行网络捕获。

捕获网络流量

Wireshark 的核心功能是捕获和分析网络数据包，以下是捕获步骤：

1. 选择捕获接口：

   • 在 Wireshark 的“捕获”菜单中，选择“以太网适配器”或“网络接口”。
   • 选择主网络接口（通常为 eth 或 en），确保其处于活动状态。

2. 设置捕获选项：

   • 捕获对话框：点击“捕获”按钮，打开捕获对话框。
   • 接口选择：选择要使用的网络接口。
   • 过滤器：使用过滤器（如 ip.addr 或 tcp.port）精准捕获特定流量。
   • 存储位置：指定保存 pcap 文件的路径。

3. 开始捕获：

   • 点击“开始”按钮，Wireshark 开始捕获流量。
   • 可以在对话框中查看实时捕获信息。

4. 停止捕获：

   点击“停止”按钮，结束捕获过程。

查看和分析捕获的数据包

捕获完成后,Wireshark 打开生成的 pcap 文件，展示捕获的数据包列表：

• 数据包列表：按时间顺序列出所有捕获的数据包。
• 数据包详细信息：点击任意数据包，查看详细信息，包括协议、源地址、目标地址、端口、数据内容等。

分析不同协议

Wireshark 支持多种协议，新手可以从常见协议开始分析：

• HTTP/HTTPS：

  • 捕获 web 流量，分析客户端和服务器之间的通信。
  • 查看请求头和响应头,检查 HTTP 状态码。

• TCP/IP/UDP：

  • 分析数据包的传输情况,检查是否有丢包或延迟。
  • 使用 tcpdump 或 tshark 命令行工具进行批量处理。

• DNS：

  分析 DNS 请求和响应，查看 DNS 查询记录。

使用过滤器简化分析

Wireshark 提供强大的过滤功能，帮助筛选特定数据包： 过滤器**：使用 http.port 过滤 HTTP 80/443 端口的流量。

• IP 过滤器：使用 ip.addr 过滤特定 IP 地址的流量。
• 时间过滤器：使用 time > 2023-10-01 分析近期流量。

高级分析与处理

对于大规模网络流量的分析,Wireshark 可能会表现不佳：

• 使用 tshark：在终端运行 tshark，处理大流量更高效。

  • 示例：tshark -r captured.pcap -n 10000 读取 10000 行数据包。

• 分批处理：对于非常大的 pcap 文件，可以分批导出和分析。

故障排除与技巧

• 权限问题：运行 Wireshark 时可能需要管理员权限，右键点击并选择“以管理员身份运行”。
• 接口问题：确保网络接口处于活动状态，必要时禁用其他占用接口的程序。
• 协议解析问题：遇到未知协议时，尝试手动解析协议字段或查找相关文档。

练习与资源

• 练习项目：捕获和分析自己本地网络的流量，观察 DNS、HTTP 等常见协议。
• 在线资源：学习 Wireshark 的官方文档、博客和视频教程。
• 社区支持：加入 Wireshark 论坛或社区，与其他用户交流经验。