(Wireshark教程7.docVIP

第?7?章?高级 7.1.?说明 在本节将介绍Wireshark的一些高级特性 7.2.?Follow TCP Stream 如果你处理TCP协议，想要查看Tcp流中的应用层数据，Following TCP streams功能将会很有用。如果你项查看telnet流中的密码，或者你想尝试弄明白一个数据流。或者你仅仅只需要一个显示过滤来显示某个TCP流的包。这些都可以通过Wireshark的Following TCP streams功能来实现。 在包列表中选择一个你感兴趣的TCP包，然后选择Wireshark工具栏菜单的Following TCP Streams选项(或者使用包列表鼠标右键的上下文菜单)。然后，Wireshark就会创建合适的显示过滤器，并弹出一个对话框显示TCP流的所有数据。如图?7.1 “Follow TCP Stream对话框”所示 注意 值得注意的是：Follow Tcp Stream会装入一个显示过滤来选择你已经选择的Tcp流的所有包。 7.2.1.?Follow TCP Stream对话框 图?7.1.?Follow TCP Stream对话框 流的内容出现的顺序同他们在网络中出现的顺序一致。从A到B的通信标记为红色，从B到A的通信标记为蓝色。当然，如果你喜欢的话你可以从Edit/Preferences菜单项的Colores修改颜色。 非打印字符将会被显示为圆点。XXX - What about line wrapping (maximum line length) and CRNL conversions? 在捕捉过程中，TCP流不能实时更新。想得到最近的内容需要重新打开对话框。 你可以在此对话框执行如下操作： Save As 以当前选择格式保存流数据。 Print 以当前选择格式打印流数据。 Direction 选择流的显示方向(Entire conversation, data from A to B only or data from B to A only). Filter out this stream 应用一个显示过滤，在显示中排除当前选择的TCP流。 Close 关闭当前对话框。移除对当前显示过滤的影响。 你可以用以下格式浏览流数据。 AsCII。在此视图下你可以以ASCII凡是查看数据。当然最适合基于ASCII的协议用，例如HTTP. EBCDIC。For the big-iron freaks out there.（不知道这句是什么意思， EBCDIC 是IBM公司的字符二进制编码标准。） HEX Dump. 允许你查看所有数据，可能会占用大量屏幕空间。适合显示二进制协议。 C Arrays. 允许你将流数据导入你自己的C语言程序。 RAW。 允许你载入原始数据到其他应用程序做进一步分析。显示类似与ASCII设置。但“save As”将会保存为二进制文件。 7.3.?时间戳 时间戳，时间戳的精度，等等是在让人感到困惑。本节将向你介绍介绍Wireshark处理时间戳时都发生了什么。 在包被捕捉时，每个包在进入时都被加上时间戳，这个时间戳将会保存在捕捉文件中，所以他们也可以在以后分析时使用。 那么说，时间戳是从哪里来的呢？是捕捉的时候产生的。Wireshark从 libpcap(WinPcap) libraray(库)中获得时间戳。而libpcap(winpcap)又是从操作系统内核获得的时间。如果捕捉数据是从捕捉文件载入的，很显然Wireshark从文件中获得时间戳数据。 7.3.1.?Wireshark内置 Wireshak内置的格式使用的时间戳格式由日期(从1.1.1970开始)和时间（从凌晨起，纳秒(10亿分之一秒)为单位）组成。你可以调整Wireshark在包列表的时间戳显示方式。见第?3.7?节 “View菜单”的Time Display Format项。 当读取或写入捕捉文件时，Wireshark按需要在内置格式和其他捕捉文件格式间进行时间戳转换。 捕捉时，Wireshark使用libpcap(WinPcap)捕捉库（支持纳秒精度）。除非你在专用的捕捉硬件上进行捕捉，一般这样的精度已经足够了。 7.3.2.?捕捉文件格式 Wireshark支持的捕捉文件格式都带有时间戳。不同的捕捉文件格式的时间戳精度有很大不同，从秒0到纳秒 0.123456789都有。大多数格式捕捉文件存储的时间戳都是固定精度的，些捕捉文件格式甚至存储了时间戳精度本身（可能是出于方便）。 大多数被Wireshark(和或多其他工具)使用的libpcap捕捉文件格式都仅支持固定的百万分之一固定精度0.123456 注意 写入数据到一个实际支持精度比你写入数据精度低的格式文件中，可能会导