Wireshark软件.docVIP

说起Wireshark就不得不提Ethereal了，Ethereal和在Windows系统中常用的sniffer pro并称网络嗅探工具双雄，不过和sniffer pro不同的是Ethereal在Linux类系统中应用更为广泛。而Wireshark软件则是Ethereal的后续版本，他是2006年在Ethereal被收购后推出的最新网络嗅探软件，在功能上比前身更加强大。官方主页： / Wireshark是功能强大的网络数据捕获工具，他可以帮助我们分析网络数据流量，在第一时间发现蠕虫病毒，木马程序以及ARP欺骗等问题的根源。 这个软件是开源代码的。可以在linux和windows下使用，在windows下编译需要安装cygwin。 简单使用教程 使用Wireshark时最常见的问题，是当您使用默认设置时，会得到大量冗余信息，以至于很难找到自己需要的部分。 设置Wireshark的过滤规则 ? 在用Wireshark截获数据包之前，应该为其设置相应的过滤规则，可以只捕获感兴趣的数据包。Wireshark使用与Tcpdump相似的过滤规则，并且可以很方便地存储已经设置好的过滤规则。要为Wireshark配置过滤规则，首先单击“Capture”选单，然后选择“Capture Filters...”菜单项，打开“Wireshark ：Capture Filter”对话框。因为此时还没有添加任何过滤规则，因而该对话框右侧的列表框是空的(如图2所示)。在Wireshark中添加过滤器时，需要为该过滤器指定名字及规则。 图 4 为Wireshark添加一个过滤器 ? 例如，要在主机和1间创建过滤器，可以在“Filter name”编辑框内输入过滤器名字“cjh”，在“Filter string”编辑框内输入过滤规则“host and 1”，然后单击“新建”按钮即可。 ? 在 Wireshark中使用的过滤规则和Tcpdump几乎完全一致，这是因为两者都基于pcap库的缘故。Wireshark能够同时维护很多个过滤器。网络管理员可以根据实际需要选用不同的过滤器，这在很多情况下是非常有用的。例如，一个过滤器可能用于截获两个主机间的数据包，而另一个则可能用于截获 ICMP包来诊断网络故障。单击“保存”按钮，会到对话框。单击“关闭”按钮完成设置。 1. 指定过滤器 ? 要将过滤器应用于嗅探过程，需要在截获数据包之前或之后指定过滤器。要为嗅探过程指定过滤器，并开始截获数据包，可以单击“Capture”选单，选择 “Start...”选单项，打开“iterface”对话框，单击该对话框中的“Filter:”按钮，然后选择要使用的网络接口，如图5所示。 图 5 为Wireshark指定网络接口 ? ?注意：在“Capture Options”对话框中，“Update list of packets in real time”复选框被选中了。这样可以使每个数据包在被截获时就实时显示出来，而不是在嗅探过程结束之后才显示所有截获的数据包。 ? 在选择了所需要的过滤器后，单击“确定”按钮，整个嗅探过程就开始了。Wireshark可以实时显示截获的数据包，因此能够帮助网络管理员及时了解网络的运行状况，从而使其对网络性能和流量能有一个比较准确的把握。如图6 。 ? ? ? 图 6 Wireshark实时显示截获的数据包 Capture Options其他选项： ? Interface（接口） ? 这个字段指定在哪个接口进行捕获。这是一个下拉字段，只能从中选择Wireshark 识别出来的接口，默认是第一块支持捕获的非loopback 接口卡。如果没有接口卡，那么第一个默认就是第一块loopback 接口卡。在某些系统中，loopback 接口卡不能用来捕获（loopback 接口卡在Windows平台是不可用的）。 ? ?IP address（IP 地址） ? 所选接口卡的IP 地址。如果不能解析出IP 地址，则显示unknown ? ?Link-layer header type（链路层头类型） ? 除非你在极个别的情况下可能用到这个字段，大多数情况下保持默认值。具体的描述，见” ? ?Buffer size: n megabyte(s) （缓冲区大小：n 兆） ? 输入捕获时使用的buffer 的大小。这是核心buffer 的大小，捕获的数据首先保存在这里，直到写入磁盘。如果遇到包丢失的情况，增加这个值可能解决问题。 ? ?Capture packets in promiscuous mode （在混杂模式捕获包） ? 这个选项允许设置是否将网卡设置在混杂模式。如果不指定，Wireshark 仅仅捕获那些进入你的计算机的或送出你的计算