停止学习Wireshark

    下载和安装好Wireshark之后，启动Wireshark而且在接口列表中选择接口名，然后開始在此接口上抓包。比如。假设想要在无线网络上抓取流量，点击无线接口。点击Capture Options能够配置高级属性。但如今无此必要。

    原文出自：https://community.emc.com/message/818739#818739

点击接口名称之后。就能够看到实时接收的报文。Wireshark会捕捉系统发送和接收的每个报文。

假设抓取的接口是无线而且选项选取的是混合模式，那么也会看到网络上其它报文。

上端面板每一行相应一个网络报文，默认显示报文接收时间（相对開始抓取的时间点），源和目标IP地址，使用协议和报文相关信息。点击某一行能够在以下两个窗体看到很多其它信息。“+”图标显示报文里面每一层的具体信息。

底端窗体同一时候以十六进制和ASCII码的方式列出报文内容。

须要停止抓取报文的时候。点击左上角的停止按键。

色彩标识:

进行到这里已经看到报文以绿色，蓝色。黑色显示出来。Wireshark通过颜色让各种流量的报文一目了然。比方默认绿色是TCP报文，深蓝色是DNS，浅蓝是UDP，黑色标识出有问题的TCP报文——比方乱序报文。

报文样本:

比方说你在家安装了Wireshark，但家用LAN环境下没有感兴趣的报文可供观察。那么能够去Wireshark wiki下载报文样本文件。

打开一个抓取文件相当简单，在主界面上点击Open并浏览文件就可以。也能够在Wireshark里保存自己的抓包文件并稍后打开。

过滤报文:

假设正在尝试分析问题，比方打电话的时候某一程序发送的报文，能够关闭全部其它使用网络的应用来降低流量。但还是可能有大批报文须要筛选，这时要用到Wireshark过滤器。

最主要的方式就是在窗体顶端过滤栏输入并点击Apply（或按下回车）。

比如，输入“dns”就会仅仅看到DNS报文。

输入的时候，Wireshark会帮助自己主动完毕过滤条件。

也能够点击Analyze菜单并选择Display Filters来创建新的过滤条件。

还有一件非常有趣的事情是你能够右键报文并选择Follow TCP Stream。

你会看到在server和目标端之间的所有会话。

关闭窗体之后。你会发现过滤条件自己主动被引用了——Wireshark显示构成会话的报文。

检查报文:

选中一个报文之后，就能够深入挖掘它的内容了。

也能够在这里创建过滤条件——仅仅需右键细节并使用Apply as Filter子菜单，就能够依据此细节创建过滤条件。

Wireshark是一个很之强大的工具，第一节仅仅介绍它的最基本使用方法。

网络专家用它来debug网络协议实现细节，检查安全问题，网络协议内部等。。