实验3 Wireshark使用入门

Logical Operations（逻辑运算符）：
可能的值：not, and, or，否("not")具有最高的优先级。或("or")和与("and")具有相同的优先级，运算时从左至右进行。
例如，"not tcp port 3128 and tcp port 23"与"(not tcp port 3128) and tcp port 23"相同。
- 点击点击（Start）开始进行捕捉。
过滤规则：
语法： Protocol Direction Host(s) Value Logical Operations Other expression
例子： tcp dst 10.1.1.1 80 and tcp dst 10.2.2.2 3128
Wireshark主要应用于网络管理员解决网络问题；网络安全工程师检测安全隐患；开发人员测试协议执行情况；学习者学习网络协议等。
Wireshark是开源软件项目，以GPL协议发行。您可以免费在任意数量的机器上使用它，不用担心授权和付费问题，所有的源代码在GPL框架下都可以免费使用。因为以上原因，人们可以很容易在Wireshark上添加新的协议，或者将其作为插件整合到您的程序里，这种应用十分广泛。Wireshark是今天能使用的最好的开源网络分析软件。
Analyze（分析）
Statistics（统计）
Help （帮助） 打开或保存捕获的信息。
查找或标记封包。进行全局设置。
设置Wireshark的视图。
跳转到捕获的数据。
设置捕捉过滤器并开始捕捉。
设置分析选项。
查看Wireshark的统计信息。
查看本地或者在线支持。
②主工具栏main toolbar，提供Wireshark的常用功能。
2. Wireshark图形界面
如果您不使用图形界面，也许会对TShark感兴趣。它是Wireshark的CLI版本。TShark支持与Wireshark相同的功能。
使用开始菜单或者快捷方式运行Wireshark后，就会出现如下开始窗口：
点选工具栏最左边的按钮：List the available capture interfaces出现：
例如，"host 10.2.2.2"与"src or dst host 10.2.2.2"是一样的。
Host(s)：
可能的值： net, port, host, portrange.
如果没有指定此值，则默认使用"host"关键字。
例如，"src 10.1.1.1"与"src host 10.1.1.1"相同。
host 10.1.2.3
显示目的或来源IP地址为10.1.2.3的封包。
src portrange 2000-2500
显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包。
not imcp
显示除了icmp以外的所有封包。（icmp通常被ping工具使用）
src host 10.7.2.12 and not dst net 10.200.0.0/16
"not tcp port 3128 and tcp port 23"与"not (tcp port 3128 and tcp port 23)"不同。
例子：
tcp dst port 3128
显示目的TCP端口为3128的封包。
ip src host 10.1.1.1
显示来源IP地址为10.1.1.1的封包。
点击实际对应网卡（第二个）的Start按钮，即以默认设置开始捕获数据包。如下图：
界面说明：
①主菜单menu，Wireshark提供的所有功能都可以在此找到。8个主菜单项用于对Wireshark进行操作和配置：
File（文件）
Edit（编辑）
View（查看）
Go （转到）
Capture（捕获）
⑦状态行statusbar，显示当前程序状态和捕获数据的一些信息。
3.Wireshark的过滤器：
使用Wireshark时最常见的问题，是当您使用默认设置时，会得到大量冗余信息，以至于很难找到自己需要的部分。这就是为什么过滤器会如此重要。它们可以帮助我们在庞杂的结果中迅速找到我们需要的信息。Wireshark有两种过滤器。捕捉过滤器和显示过滤器。
实验三 Wireshark使用入门
一、实验目的
熟悉网络协议分析软件Wireshark的使用。
二、实验内容
从课程网站下载Wireshark，安装到自己计算机上，运行Wireshark，熟悉Wireshark的使用。
三、实验原理
1.Wireshark概述
Wireshark是网络协议分析软件。其主要作用是捕获网络数据包，并尝试显示包的详细情况，为用户提供关于网络和协议的各种信息。与很多其他网络工具一样，Wireshark也使用WinPcap来进行封包捕捉。
Wireshark可以支持UNIX和Windows平台；可在接口实时捕捉包；能详细显示包的协议信息；可以打开/保存捕捉的包；可以导入导出其他捕获软件支持的包；可以通过多种方式过滤包；可以多种方式查找包；经过滤后以多种色彩显示包；创建多种统计分析等。
Wireshark不能提供如下功能：Wireshark不是入侵检测系统。如果他/她在您的网络做了一些他/她们不被允许的奇怪的事情，Wireshark不会警告您。但是如果发生了奇怪的事情，Wireshark可能对察看发生了什么会有所帮助。Wireshark不会处理网络事务，它仅仅是“测量”(监视)网络。Wireshark不会发送网络包或做其它交互性的事情（名称解析除外，但您也可以禁止解析）。
Protocol（协议）：
可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp。如果没有特别指明是什么协议，则默认使用所有支持的协议。
Direction（方向）：
可能的值: src, dst, src and dst, src or dst。如果没有特别指明来源或目的地，则默认使用 "src or dst" 作为关键字。
③过滤器工具栏filter toolbar，提供对显示过滤器的操作。
④封包列表窗格packet list pane，其中包含被捕获包的一般信息，如被捕获的时间、源和目的IP地址、所属的协议类型，以及包的类型等信息。如果捕获的是一个OSI layer 2的封包，您在Source（来源）和Destination（目的地）列中看到的将是MAC地址，当然，此时Port（端口）列将会为空。如果捕获的是一个OSI layer 3或者更高层的封包，您在Source（来源）和Destination（目的地）列中看到的将是IP地址。Port（端口）列仅会在这个封包属于第4或者更高层时才会显示。
例子：ftp passive ip = = 10.2.3.4 xor icmp.type
⑤封包详细信息窗格packet details pane显示第④部分已选中的包的每个域的具体信息，从以太网帧的首部到该包中负载内容，都显示得清清楚楚。信息按照不同的layer进行了分组，您可以展开每个项目查看。
⑥封包字节窗格packet bytes pane显示已选中包的16进制和ASCII表示，帮助用户了解一个包的本来样子，并高亮显示第⑤部分选中的协议相关信息。
Wiresahrk简单开发过程如下。1997年，Gerald Combs需要一个工具追踪网络问题并想学习网络知识，他开始开发Ethereal (Wireshark项目以前的名称) 以解决以上的两个需要。1998年，Ethereal 0.2.0版诞生了。此后不久，Gilbert Ramirez发现它的潜力，并为其提供了底层分析。1998年10月，Guy Harris开始为Ethereal进行改进，并提供分析。1998年，正在进行TCP/IP教学的Richard Sharpe关注了Ethereal在这些课程中的作用，并开始研究该软件对新协议的支持，开始从事Ethereal的分析及改进。从那以后，帮助Ethereal的人越来越多。Gerald Coombs离开NIS公司后，到了拥有WinPcap的CACE公司，由于Ethereal商标已经为NIS公司注册，2006年6月Gerald Coombs将Ethereal更名为Wireshark。Wireshark目前由Wireshark team进行进一步开发和维护，Wireshark team是一个由修补bug增强Wireshark功能的独立成员组成的松散组织。
注意事项：
当使用关键字作为值时，需使用反斜杠“\”。
"ether proto \ip" (与关键字"ip"相同).
这样写将会以IP协议作为目标。
"ip proto \icmp" (与关键字"icmp"相同).
这样写将会以ping工具常用的icmp作为目标。
可以在"ip"或"ether"后面使用"multicast"及"broadcast"关键字。
显示来源IP地址为10.7.2.12，但目的地不是10.200.0.0/16的封包。
(src host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net 10.0.0.0/8