WireShark使用培训课件.pptx

WireShark教程;培训目的;内容纲要;以太网络的工作原理（1）;以太网络的工作原理（2）;以太网卡的工作方式;单播、组播和广播;共享网络和交换网络;共享网络和交换网络;Wireshark概述;概 述;概 述;概 述;概 述;软件简介;功能界面介绍;;File（文件） 打开或保存捕获的信息。 Edit （编辑）查找或标记封包。进行全局设置。 View（查看） 设置Wireshark的视图。 Go （转到）跳转到捕获的数据。 Capture（捕获）设置捕捉过滤器并开始捕捉。 Analyze（分析）设置分析选项。 Statistics （统计）查看Wireshark的统计信息。 Help （帮助）查看本地或者在线支持。 ;Help 帮助 Contents Wireshark 使用手册 Supported Protocols Wireshark支持的协议清单 Manual Pages 使用手册（HTML网页） Wireshark Online Wireshark 在线 About Wireshark 关于Wireshark;在菜单下面，是一些常用的快捷按钮。 您可以将鼠标指针移动到某个图标上以获得其功能说明。;(tcp.port == 80 || udp.port == 80)ip.addr==01 说明：源地址和目的地址为01 并且端口为80的所有数据包;ip.addr==01 http 说明：源地址和目的地址为01 并且协议为HTTP的所有数据包;这里显示的是在封包列表中被选中项目的详细信息。信息按照不同的OSI layer进行了分组，可以展开每个项目查看。下面截图中展开的是HTTP信息。 ;“解析器”在Wireshark中也被叫做“16进制数据查看面板”。这里显示的内容与“封包详细信息”中相同，只是改为以16进制的格式表述。在上面的例子里，我们在“封包详细信息”中选择查看TCP端口（80），其对应的16进制数据将自动显示在下面的面板中（0050）。 ;过滤器 ;过滤器;捕捉过滤器 显示过滤器;;一：选择本地的网络适配器;填写capture filter栏或者点击capture filter按钮为您的过滤器起一个名字并保存，以便在今后的捕捉中继续使用这个过滤器。; 可通过Capture菜单中的Interfaces打开网卡列表，然后点击网卡右边的“Start”按钮开始抓包。或者单击工具栏的第一个按钮，和单击Capture-Interfaces的效果一样。; 开始抓包后，Wireshark的主界面中会以不同的颜色显示抓取到的不同的数据包。 如果要停止抓包，可通过工具栏中的Stop按钮，或者Capture-Stop菜单项停止抓包。; 停止抓包后我们可以将抓取到的数据包保存到文件供日后分析使用。 可通过菜单File-Save(Save As) 或者工具栏上的保存按钮。;抓包模式; 由于Wireshark是将抓包数据保存在内存当中，当抓包时间比较长，抓的包比较多时可能出现内存不够用的情况。此时我们设置使用多个文件保存抓包数据就可避免这种情况。 多个文件保存的方式可以是 每隔多久保存一个文件，也可以是 限制每个文件保存的大小，同时也可以设置限制文件个数。 默认情况下Wireshark是只使用一个临时文件来保存抓包数据的。;自动停止抓包;设置Capture filter 步骤: -选择 Capture - Options… 或者使用快捷键Ctrl+K -填写“Capture Filter”栏或者点击“Capture Filter”按钮为您的过滤器起一个名字并保存，以便在今后的捕捉中继续使用这个过滤器 -点击开始（Start）进行捕捉。;Capture Filter 语法： 语法： 例子： iax2 dst 3 4569 and src 11 Protocol（协议）: 可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp. 如果没有特别指明是什么协议，则默认使用所有支持的协议 Direction（方向）: 可能的值: src, dst, src and dst, src or dst 如果没有特别指明来源或目的地，则默认使用 “src or dst” 作为关键字。