1****************************
2乐鑫 Wireshark 使用指南
3****************************
4:link_to_translation:`en:[English]`
5
6===========
71. 概述
8===========
9
101.1 什么是 Wireshark？
11========================
12
13Wireshark（原称 Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark 使用 WinPCAP 作为接口，直接与网卡进行数据报文交换。
14
15网络封包分析软件的功能可想像成“电工技师使用电表来量测电流、电压、电阻” 的工作，只是将场景移植到网络上，并将电线替换成网线。
16
17在过去，网络封包分析软件是非常昂贵，或是专门属于营利用的软件。Wireshark 的出现改变了这一切。
18
19在 GNU GPL 通用许可证的保障范围下，使用者可以以免费的代价取得软件与其源代码，并拥有针对其源代码修改及客制化的权利。
20
21Wireshark 是目前全世界最广泛的网络封包分析软件之一。
22
23
241.2 Wireshark 的主要应用
25===========================
26
27下面是 Wireshark 一些应用的举例：
28
29* 网络管理员用来解决网络问题
30
31* 网络安全工程师用来检测安全隐患
32
33* 开发人员用来测试协议执行情况
34
35* 用来学习网络协议
36
37除了上面提到的，Wireshark 还可以用在其它许多场合。
38
39
401.3 Wireshark 的特性
41========================
42
43* 支持 UNIX 和 Windows 平台
44
45* 在接口实时捕捉包
46
47* 能详细显示包的详细协议信息
48
49* 可以打开/保存捕捉的包
50
51* 可以导入导出其他捕捉程序支持的包数据格式
52
53* 可以通过多种方式过滤包
54
55* 多种方式查找包
56
57* 通过过滤以多种色彩显示包
58
59* 创建多种统计分析
60
61* 等等
62
63
641.4 Wireshark 的“能”与“不能”？
65================================
66
67* **捕捉多种网络接口**
68
69  Wireshark 可以捕捉多种网络接口类型的包，哪怕是无线局域网接口。
70
71* **支持多种其它程序捕捉的文件**
72
73  Wireshark 可以打开多种网络分析软件捕捉的包。
74
75* **支持多格式输出**
76
77  Wireshark 可以将捕捉文件输出为多种其他捕捉软件支持的格式。
78
79* **对多种协议解码提供支持**
80
81  Wireshark 可以支持许多协议的解码。
82
83* **Wireshark 不是入侵检测系统**
84
85  如果您的网络中存在任何可疑活动，Wireshark 并不会主动发出警告。不过，当您希望对这些可疑活动一探究竟时，Wireshark 可以发挥作用。
86
87* **Wireshark 不会处理网络事务，它仅仅是“测量”（监视）网络**
88
89  Wireshark 不会发送网络包或做其它交互性的事情（名称解析除外，但您也可以禁止解析）。
90
91
92========================
932. 如何获取 Wireshark
94========================
95
96官网链接：https://www.wireshark.org/download.html
97
98Wireshark 支持多种操作系统，请在下载安装文件时，注意选择与您所用操作系统匹配的安装文件。
99
100
101==============
1023. 使用步骤
103==============
104
105**本文档仅以 Linux 系统下的 Wireshark（版本号：2.2.6）为例**。
106
107**1) 启动 Wireshark**
108
109Linux 下，可编写一个 Shell 脚本，运行该文件即可启动 Wireshark 配置抓包网卡和信道。Shell 脚本如下：
110
111::
112
113  ifconfig $1 down
114  iwconfig $1 mode monitor
115  iwconfig $1 channel $2
116  ifconfig $1 up
117  Wireshark&
118
119脚本中有两个参数：``$1`` 和 ``$2``，分别表示网卡和信道，例如，``./xxx.sh wlan0 6`` （此处，``wlan0`` 即为抓包使用的网卡，后面的数字 ``6`` 即为 AP 或 soft-AP 所在的 channel）。
120
121
122**2) 运行 Shell 脚本打开 Wireshark，会出现 Wireshark 抓包开始界面**
123
124.. figure:: ../../_static/ws-capture-interface.jpeg
125    :align: center
126    :alt: Wireshark 抓包界面
127    :figclass: align-center
128    :width: 60%
129
130    Wireshark 抓包界面
131
132
133**3) 选择接口，开始抓包**
134
135从上图红色框中可以看到有多个接口，第一个为本地网卡，第二个为无线网络。
136
137可根据自己的需求选取相应的网卡，本文是以利用无线网卡抓取空中包为例进行简单说明。
138
139双击 *wlan0* 即可开始抓包。
140
141
142**4) 设置过滤条件**
143
144抓包过程中会抓取到同信道所有的空中包，但其实很多都是我们不需要的，因此很多时候我们会设置抓包的过滤条件从而得到我们想要的包。
145
146下图中红色框内即为设置 filter 的位置。
147
148.. figure:: ../../_static/ws-setup-filters.png
149    :align: center
150    :alt: 设置 Wireshark 过滤条件
151    :figclass: align-center
152
153    设置 Wireshark 过滤条件
154
155点击 *Filter* 按钮（下图的左上角蓝色按钮）会弹出 *display filter* 对话框。
156
157.. figure:: ../../_static/ws-display-filter-dialogue-box.png
158    :align: center
159    :alt: *Display Filter* 对话框
160    :figclass: align-center
161    :width: 60%
162
163    *Display Filter* 对话框
164
165点击 *Expression* 按钮，会出现 *Filter Expression* 对话框，在此你可以根据需求进行 filter 的设置。
166
167.. figure:: ../../_static/ws-filter-expression.png
168    :align: center
169    :alt: *Filter Expression* 对话框
170    :figclass: align-center
171    :width: 80%
172
173    *Filter Expression* 对话框
174
175**最直接的方法** ：直接在工具栏上输入过滤条件。
176
177.. figure:: ../../_static/ws-filter-toolbar.png
178    :align: center
179    :alt: 过滤条件工具栏
180    :figclass: align-center
181
182    过滤条件工具栏
183
184点击在此区域输入或修改显示的过滤字符，在输入过程中会进行语法检查。如果您输入的格式不正确，或者未输入完成，则背景显示为红色。直到您输入合法的表达式，背景会变为绿色。你可以点击下拉列表选择您先前键入的过滤字符。列表会一直保留，即使您重新启动程序。
185
186例如：下图所示，直接输入 2 个 MAC 作为过滤条件，点击 *Apply* （即图中的蓝色箭头），则表示只抓取 2 个此 MAC 地址之间的交互的包。
187
188.. figure:: ../../_static/ws-filter-toolbar_green.png
189    :align: center
190    :alt: 在过滤条件工具栏中运用 MAC 地址过滤示例
191    :figclass: align-center
192
193    在过滤条件工具栏中运用 MAC 地址过滤示例
194
195
196**5) 封包列表**
197
198若想查看包的具体的信息只需要选中要查看的包，在界面的下方会显示出包的具体的格式和包的内容。
199
200.. figure:: ../../_static/ws-packet-list.png
201    :align: center
202    :alt: 封包列表具体信息示例
203    :figclass: align-center
204
205    封包列表具体信息示例
206
207如上图所示，我要查看第 1 个包，选中此包，图中红色框中即为包的具体内容。
208
209
210**6) 停止/开始包的捕捉**
211
212若要停止当前抓包，点击下图的红色按钮即可。
213
214.. figure:: ../../_static/ws-stop-packet-capture.png
215    :align: center
216    :alt: 停止包的捕捉
217    :figclass: align-center
218
219    停止包的捕捉
220
221若要重新开始抓包，点击下图左上角的蓝色按钮即可。
222
223.. figure:: ../../_static/ws-start-resume-packet-capture.png
224    :align: center
225    :alt: 开始或继续包的捕捉
226    :figclass: align-center
227    :width: 60%
228
229    开始或继续包的捕捉
230
231**7) 保存当前捕捉包**
232
233Linux 下，可以通过依次点击 "File" -> "Export Packet Dissections" -> "As Plain Text File" 进行保存。
234
235.. figure:: ../../_static/ws-save-packets.png
236    :align: center
237    :alt: 保存捕捉包
238    :figclass: align-center
239    :width: 60%
240
241    保存捕捉包
242
243上图中，需要注意的是，选择 *All packets*、*Displayed* 以及 *All expanded* 三项。
244
245Wireshark 捕捉的包可以保存为其原生格式文件（libpcap），也可以保存为其他格式（如.txt 文件）供其他工具进行读取分析。
246
247