首页 > 代码库 > WireShark 基本介绍
WireShark 基本介绍
文中内容主要转自：http://www.cnblogs.com/TankXiao/archive/2012/10/10/2711777.html
一、Wireshark 与 Fiddler 比较：
Fiddler是在windows上运行的程序，专门用来捕获HTTP，HTTPS的。wireshark能获取HTTP，也能获取HTTPS，
但是不能解密HTTPS，所以wireshark看不懂HTTPS中的内容。
总结，如果是处理HTTP,HTTPS 还是用Fiddler, 其他协议比如TCP,UDP 就用wireshark
二、WireShark使用简介
1. 开始界面：
2. wireshark是捕获机器上的某一块网卡的网络包，当你的机器上有多块网卡的时候，你需要选择一个网卡。点击Caputre->Interfaces.. 出现下面对话框，
选择正确的网卡。然后点击"Start"按钮, 开始抓包如果服务和访问端在一台电脑上，貌似不能捕获到访问信息。
3. Wireshark 窗口介绍:
WireShark 主要分为这几个界面:
1). Display Filter(显示过滤器)，用于过滤
2). Packet List Pane(封包列表)，显示捕获到的封包，有源地址和目标地址，端口号。颜色不同，代表
3). Packet Details Pane(封包详细信息), 显示封包中的字段
4). Dissector Pane(16进制数据)
5). Miscellanous(地址栏，杂项)
4. 过滤器有两种：
1). 显示过滤器，用来在捕获的记录中找到所需要的记录。单击左边的Filter可进入过滤器的设置界面。在设置界面右边选择框中，可以单击相应规则名称，
查看具体过滤规则。最重要的是，我可以模仿现有的规则，新建适合自己程序的过滤规则。通过单击左边的New按钮，新建我们自己的过滤规则。
2). 捕获过滤器，用来过滤捕获的封包，以免捕获太多的记录。我们可以通过 Capture -> Options...，进入Capture Options 设置界面。然后单击里面
的Capture Filter按钮，进入捕获过滤器设置界面。然后可模仿已有的规则，设置新的过滤规则。
(我用的版本是v1.12.1，有些版本的Capture Filter按钮按钮可能不在Capture Options设置界面。具体在哪自己找吧。)
注意：当设置正确地过两个规则时，过滤器所在框背景色为绿色。若规则错误，过滤器所在框背景色为红色。
5. 封包详细信息(Packet Details Pane)：这个面板是我们最重要的，用来查看协议中的每一个字段。各行信息分别为：
1). Frame: 物理层的数据帧概况
2). Ethernet II: 数据链路层以太网帧头部信息
3). Internet Protocol Version 4: 互联网层IP包头部信息
4). Transmission Control Protocol: 传输层T的数据段头部信息，此处是TCP
5). Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协议
三、 相关知识介绍：
1. wireshark与对应的OSI七层模型：
2. TCP包的具体内容：
3. 实例分析TCP三次握手过程：
4. 我们用wireshark实际分析下三次握手的过程。打开wireshark, 打开浏览器输入 http://www.cnblogs.com/tankxiao。在wireshark中输入
http过滤， 然后选中GET /tankxiao HTTP/1.1的那条记录，右键然后点击"Follow TCP Stream",这样做的目的是为了得到与浏览器打开网站
相关的数据包，将得到如下图：
图中可以看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的， 这说明HTTP的确是使用TCP建立连接的。
第一次握手数据包。客户端发送一个TCP，标志位为SYN，序列号为0， 代表客户端请求建立连接。 如下图：
第二次握手的数据包。服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的ISN加1以.即0+1=1, 如下图：
第三次握手的数据包。客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,
放在确定字段中发送给对方.并且在数据段放写ISN的+1, 如下图:
WireShark 基本介绍