WIRESHARK图像化与命令行模式

1.筛选器

ip.addr==192.168.88.160 and tcp.port==80

 

!tcp 查看分tcp的协议

 

frame.len<=150 查看长度小于等于150字节的数据包

 

捕获tcp中带有psh和ack标志偏移位为13的的数据包

tcp[13]==0x18

 

将常用筛选条件到添加删选器

分析–》显示过滤器–》+添加

 

2.wireshark 使用表格

 

3.wireshark 图形显示

统计—》IO 图表

主要用来查看大流量的趋势，比如大文件下载

 

设置显示的筛选条件

显示丢失、重发等异常数据包&&不显示窗口的更新数据包

tcp.analysis.flags && !tcp.analysis.window_update

 

统计–》tcp–》往返时间图

 

数据流图

查看整个交互过程

统计–》数据流图

 

4.wireshark 高级特性

wireshark 基于端口进行协议解析

加入我们修改ftp服务器的端口为443，则wireshark就会将ftp协议的流量当做ssl协议流量。

转换协议

单击数据包，右键选择”解码为”,更改解码类型。

 

追踪TCP流

右键数据包，选择follow stream(追踪流)，选择TCP流。

 

查看数据包长度

统计–》分组长度

我们重点关注1280—2559长度的数据包

 

专家信息的使用

查看数据传输的一些警告信息

分析–》专家信息

 

 

5.wireshark 命令行模式

tshark 是wireshark的命令行工具

tshark -r /root/tcp.pcap | grep -e GET 从tcp.pcap包中查找所有的GET请求

tshark -r /root/tcp.pcap |grep -e GET | cut -d ” ” -f 8-9

 

使用capinfos 查看cap包基本信息

capinfos /root/tcp.pcap

 

 

tshark -n -q -r /root/tcp.pcap -z “rpc,programs”

-n 禁止所有名字地址解析

-q 设置为标准的输出

-z 设置统计参数

 

tshark -n -q -r /root/tcp.pcap -z “smb,srt”

 

tshark -r /root/tcp.pcap -Y “ip.addr==192.168.88.160” -w 160.pcap

 

显示所有tcp会话信息

tshark -n -q -r /root/tcp.pcap -z “conv,tcp”

 

数据包拆分

editcap tcp.pcap output.pcap -i 4 将数据包以每4秒进行拆分

 

合并数据包

mergecap -w he.pcap output*.pcap