使用Wireshark抓包教程

date: 2013.05.23; modification:2017.07.27

目录:

1 过滤器

Wireshark过滤器分为捕捉过滤器显示过滤器.

1.1 捕捉过滤器

1.1.1 语法

捕捉过滤器的语法与其它使用Lipcap(Linux)或者Winpcap(Windows)库开发的软件一样, 比如著名的TCPdump. 捕捉过滤器必须在开始捕捉前设置完毕, 这一点跟显示过滤器是不同的.

| 语法 | Protocol | Direction | Host(s)  | Value | Logical Operations | Other expression      |
|------|----------|-----------|----------|-------|--------------------|-----------------------|
| 例子 | tcp      | dst       | 10.1.1.1 | 80    | and                | tcp dst 10.2.2.2 3128 |

Protocol(协议)

可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp, udp. 如果没有特别指明是什么协议, 则默认使用所有支持的协议.

Direction(方向)

可能的值: src, dst, src and dst, src or dst 如果没有特别指明来源或目的地, 则默认使用 "src or dst" 作为关键字. 例如, "host 10.2.2.2"与"src or dst host 10.2.2.2"是一样的.

Host(s)

可能的值: net, port, host, portrange. 如果没有指定此值, 则默认使用"host"关键字. 例如, "src 10.1.1.1"与"src host 10.1.1.1"相同.

Logical Operations(逻辑运算)

可能的值: not, and, or. 否("not")具有最高的优先级. 或("or")和与("and")具有相同的优先级, 运算时从左至右进行. 例如: * "not tcp port 3128 and tcp port 23"与"(not tcp port 3128) and tcp port 23"相同. * "not tcp port 3128 and tcp port 23"与"not (tcp port 3128 and tcp port 23)"不同.

1.1.2 例子

目的TCP端口为3128的封包:

tcp dst port 3128

来源IP地址为10.1.1.1的封包:

ip src host 10.1.1.1

目的或来源IP地址为10.1.2.3的封包:

host 10.1.2.3

来源为UDP或TCP, 并且端口号在2000至2500范围内的封包:

src portrange 2000-2500

除了icmp以外的所有封包. (icmp通常被ping工具使用):

not imcp

来源IP地址为10.7.2.12, 但目的地不是10.200.0.0/16的封包:

src host 10.7.2.12 and not dst net 10.200.0.0/16

来源IP为10.4.1.12或者来源网络为10.6.0.0/16, 目的地TCP端口号在200至10000之间, 并且目的位于网络10.0.0.0/8内的所有封包:

(src host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and dst net 10.0.0.0/8

1.1.3 注意事项

1.2 显示过滤器

1.2.1 语法

通常经过捕捉过滤器过滤后的数据还是很复杂. 此时您可以使用显示过滤器进行更加细致的查找. 它的功能比捕捉过滤器更为强大.

| 语法 | Protocol. | String 1. | String 2 | Comparison operator | Value    | Logical Operations | Other expression |
|------|-----------|-----------|----------|---------------------|----------|--------------------|------------------|
| 例子 | ftp       | passive   | ip       | ==                  | 10.2.3.4 | xor                | icmp.type        |

Protocol(协议)

可以使用大量位于OSI模型第2至7层的协议. 点击"Expression..."按钮后, 您可以看到它们. 比如: IP, TCP, DNS, SSH等. 也可以在菜单Help->Supported Protocols找到所支持的协议.

String1, String2 (可选项)

协议的子类.

Comparison operators(比较运算符)

可以使用6种比较运算符:

| 英文写法 | C语言写法 | 含义 |
|----------|-----------|------|
| eq ==    | 等于      |      |
| ne !=    | 不等于    |      |
| gt >     | 大于      |      |
| lt <     | 小于      |      |
| ge >=    | 大于等于  |      |
| le <=    | 小于等于  |      |

Logical expressions(逻辑运算符)

| 英文写法 | C语言写法 | 含义     |
|----------|-----------|----------|
| and      | &&        | 逻辑与   |
| or       |           | 逻辑或   |
| xor      | ^^        | 逻辑异或 |
| not      | !         | 逻辑非   |

逻辑异或是一种排除性的或. 当其被用在过滤器的两个条件之间时, 只有当且仅当其中的一个条件满足时, 这样的结果才会被显示在屏幕上.

1.2.2 例子

显示SNMP或DNS或ICMP封包:

snmp || dns || icmp 

显示来源或目的IP地址为10.1.1.1的封包:

ip.addr == 10.1.1.1

显示来源不为10.1.2.3或者目的不为10.4.5.6的封包:

ip.src != 10.1.2.3 or ip.dst != 10.4.5.6

换句话说, 显示的封包将会为: 
来源IP除了10.1.2.3以外任意; 目的IP任意 以及 来源IP任意, 目的IP: 除了10.4.5.6以外任意

显示来源不为10.1.2.3并且目的IP不为10.4.5.6的封包:

ip.src != 10.1.2.3 and ip.dst != 10.4.5.6:

换句话说, 显示的封包将会为: 
来源IP: 除了10.1.2.3以外任意; 同时须满足, 目的IP: 除了10.4.5.6以外任意

显示来源或目的TCP端口号为25的封包:

tcp.port == 25

显示目的TCP端口号为25的封包:

tcp.dstport == 25

显示包含TCP标志的封包:

tcp.flags

显示包含TCP SYN标志的封包:

tcp.flags.syn == 0x02

如果过滤器的语法是正确的, 表达式的背景呈绿色. 如果呈红色, 说明表达式有误.

2 Linux使用非root用户抓包

默认情况下, 访问网络端口需要root权限, 而wireshark的只是/usr/share/dumpcap的一个UI, /usr/share/dumpcap需要root权限, 所以没法non-root用户无法读取网卡列表.

解决办法很简单:

sudo wireshark

但是wireshark官方不推荐这么做:

Running as user "root" and group "root".
This could be dangerous.


If you're running Wireshark this way in order to perform live capture,
you may want to be aware that there is a better way documented at...

所以用另一种方法, 改变/usr/share/dumpcap的group, 添加一个group: wireshark, chgrp到wireshark组, 再改成750权限, 这样方便权限控制.

sudo -s  
groupadd wireshark   # 如果已经有该组则不用添加
sudo gpasswd -a myusername wireshark
chgrp wireshark /usr/bin/dumpcap  # 如果已经是wireshark组则不用更改.
chmod 4750 /usr/bin/dumpcap  

然后注销再重新登陆一下, 应该就可以了. 如果不行的话, 可以继续试试如下方法:

执行下面命令:

setcap cap_net_raw,cap_net_admin=eip /usr/bin/dumpcap

用getcap /usr/bin/dumpcap, 输出应当是:

/usr/bin/dumpcap = cap_net_admin,cap_net_raw+eip

说明生效. 注意得注销一下才能生效.

3 参考资料

http://blog.csdn.net/digimon/article/details/7220290