1、 内部公开1 / 24 内部文件，请勿扩散杭州迪普科技有限公司wireshark 抓包应用指导说明书拟制 雷振华 日期 2015.4.10评审人 日期签发 日期内部公开2 / 24 内部文件，请勿扩散内部公开3 / 24 内部文件，请勿扩散修订记录日期 修订版本 描述 作者2015.4.10 V1.0 初稿完成 雷振华内部公开4 / 24 内部文件，请勿扩散目 录1 WIRESHARK 介绍 .52 功能介绍 53 图形界面抓报文 .53.1 选择网卡抓报文 53.2 显示报文抓取时间 73.3 WIRESHARK 界面布局 .83.4 报文过滤条件 93.4.1 常用过滤条件 103.4.2
2、 WIRESHARK EXPRESSION 113.4.3 高级过滤条件 113.4.4 WIRESHARK CAPTURE FILTER144 命令行抓报文 .154.1 选择网卡 154.2 命令行过滤条件 174.3 常用过滤条件 175 批量转换报文格式 .18内部公开5 / 24 内部文件，请勿扩散1 Wireshark 介绍Wireshark 是开源网络包分析工具，支持 Windows/Linux/Unix 环境。网络包分析工具的主要作用是尝试捕获网络包，并尝试显示包的尽可能详细的情况。可以从网站下载最新版本的 Wireshark (http:/www.wireshark.org/
3、download.html 。 Wireshark 通常在 4-8 周内发布一次新版本2 功能介绍Wireshark 支持图形和命令行两种抓报文方式3 图形界面抓报文3.1 选择网卡抓报文第一步 打开 wireshark 抓包软件，点击“CaptureInterfaces”, 如图 3-1内部公开6 / 24 内部文件，请勿扩散图 3-1 选择网卡第二步 选择抓包的网卡，点击”Strart“开始抓包，这样将抓取流经此网卡的所有报文，并临时保存在内存中。因此，如果持续抓包将消耗掉系统所有内存。如图 3-2 和图 3-3图 3-2 启动抓包内部公开7 / 24 内部文件，请勿扩散图 3-3 抓包界
4、面图标 说明重新抓报文停止抓报文表 1-13.2 显示报文抓取时间打开 wireshark 抓包软件，点击“ViewTimeDisplay FormatDate and Time of Day”，如图 3-4 和图 3-5内部公开8 / 24 内部文件，请勿扩散图 3-4效果图：图 3-53.3 Wireshark 界面布局Wireshark 界面主要分为三部分（如图 3-6），区域一显示抓取的报文，区域二显示选中报文的包头详细信息，区域三显示选中报文的详细信息，默认以十六进制显示。内部公开9 / 24 内部文件，请勿扩散图 3-6功能 说明区域一 显示抓取的报文区域二 显示选中报文的包头详细
5、信息区域三 显示选中报文的详细信息，默认以十六进制显示Packets 抓取的所有报文计数Displayed 满足过滤条件的报文计数表 1-2内部公开10 / 24 内部文件，请勿扩散3.4 报文过滤条件Wireshark 能够根据应用的需要设置灵活方便的过滤条件，迅速筛选出符合条件的报文。Wireshark 的 Filter 过滤能够自动检测语法合法性，如果过滤条件设置正确，则 Filter 输入框为绿色，如果过滤条件设置错误，则 Filter 输入框为红色。如图 3-7图 3-73.4.1 常用过滤条件功能 说明ip.addr=10.23.7.113 源 IP 地址或目的 IP 地址是 10
6、.23.7.113 的报文ip.src=10.23.7.113 源 IP 地址是 10.23.7.113ip.dst=10.23.7.113 目的 IP 地址是 10.23.7.113ip.src=10.23.7.113 and ip.dst=10.23.7.113 报文源 IP 地址是 10.23.7.113 且目的 IP 地址是 106.28.142.181IPipudp/tcp.port=80 过滤 udp 或 tcp 源端口或目的端口是 80 的报文udp/tcp.srcport=40004 过滤 udp 或 tcp 源端口是 40004 的报文udp/tcp.dstport=80 过
7、滤 udp 或 tcp 目的端口是 80 的报文tcp.srcport=40004 and tcp.dstport=80 过滤 tcp 协议源端口是 40004 且目的端口是 80 的报文tcp/udp/http 过滤 tcp/udp/http 报文内部公开11 / 24 内部文件，请勿扩散tcp.flags.syn=0x02 抓 tcp syn 报文ip.id=0xadcd 过滤 ip 报文 id 是 0xadcd 的报文表 1-33.4.2 Wireshark expression当然，如果你对 Filter 过滤规则不熟悉或者不知道如何怎么写时，可以使用 wireshark 的Expre
8、ssion，这里列出了 wireshark 所支持的所有过滤协议以及过滤方式图 3-83.4.3 高级过滤条件上述的过滤条件都是 wireshark 内置的，主要是根据已知的包头字段内容过滤。同时wireshark 也支持根据报文负载内部过滤。内部公开12 / 24 内部文件，请勿扩散表 1-4根据负载单字节过滤，如图 3-9图 3-9项目 说明tcp/udpoffset:n 从 tcp 或 udp 偏移指定字节后，命中指定 n 个字节的内容tcp20:8 表示从 20 开始，取 8 个字节udp8:3 表示从 8 开始，取 3 个字节udp8:3=81:60:03 不可以写为 udp8:3=
9、816003内部公开13 / 24 内部文件，请勿扩散根据 udp 负载过滤双字节，如图 3-10图 3-10根据 tcp 包头后 3 字节内容，如图 3-11图 3-11内部公开14 / 24 内部文件，请勿扩散3.4.4 Wireshark capture filter根据 3.1 抓报文，wireshark 默认抓取所选网卡的所有报文，并且保存在内存中。如果忘记停止抓报文，会耗尽系统内存。我们完全可以设置 wireshark 只抓取满足过滤条件的报文。图 3-12点击图中的“Options”选择，进入图 3-13图 3-13设置好过滤条件后，点击”Start“，wireshark 就只抓
10、取符合过滤条件的报文。内部公开15 / 24 内部文件，请勿扩散在”Capture Filter“输入框内输入过滤条件。语法正确，输入框背景显示为绿色，语法错误，输入框背景显示为红色。请注意，此处的语法与 3.4.1 不相同。常用过滤条件：表 1-54 命令行抓报文命令行抓包可以让抓取的报文直接保存在硬盘上，这样既不用担心 wireshark 抓大流量报文时（例如笔记本抓 1Gbps 速率的报文）崩溃，又不用担心迅速耗尽系统内存的风险。4.1 选择网卡使用 cmd 进入 wireshark 的安装目录，如图 4-1图 4-1功能 说明Host 10.23.7.113 源 IP 地址或目的 IP
11、 地址是 10.23.7.113 的报文host 10.23.7.113 and tcp port 4444 源 IP 地址或目的 IP 地址是 10.23.7.113 的报文且 tcp 端口是4444 的报文udp port 69 udp 端口是 69 的报文内部公开16 / 24 内部文件，请勿扩散执行 dumpcap.exe -D 列出所有网卡图 4-2根据 wireshark 图形界面，选择你需要抓包接口 ID内部公开17 / 24 内部文件，请勿扩散图 4-34.2 命令行过滤条件Dumpcap.exe -i 1 -s 0 -B 256 filesize:10000 -w f:1.p
12、cap -f “ tcp port 80”图 4-4项目 说明-i 1 接口 ID 值，可使用 dumpcap.exe -D 查看-s 0 指定抓取报文的长度，0 表示抓取报文全部长度-B 256 size of kernel buffer，即系统内核缓存。默认是 2MFilesizes:10000 每 10M 一个文件保存-w f:1.pcap 抓取的报文保存在 F 盘，文件名为 1.pcap-f “tcp port 80” 抓报文的过滤条件表 1-64.3 常用过滤条件1、dumpcap.exe -i 4 -s 65535 -b filesize:100000 -w F:radius_fi
13、lter_test.pcap -f “udp30:4=0x30383734“内部公开18 / 24 内部文件，请勿扩散2、dumpcap.exe -i 1 -s 65535 -B 256 -b filesize:200000 -w F:pcap13.pcap -f “udp port 1813“3、dumpcap.exe“ -i 2 -s 65535 -B 256 -b filesize:10000 -w F:pcacp3.pcap -f “host 182.244.157.105“5 批量转换报文格式在我们的日常工作中排查一些局点问题，往往需要从前方局点抓一些报文在公司进行回放测试，以帮助分
14、析和定位问题，但往往通过 wireshark 自动执行抓包后保存的报文格式默认是.pcapng 类型，使用公司的报文回放工具 SendPcap_v1.1.exe 因识别不了此类格式的报文而无法进行回放，若通过手动方式将报文一个一个打开后再保存为我们能用的格式，工作量是非常大的。这个时候我们就需要借助自动化脚本进行批量转化，大大简化工作量来达到我们的目的。本文重点介绍通过自动化执行脚本方式来批量转化报文的方法。按照本文介绍的方法，我们可以很轻松的实现将大批量的报文在短时间内进行转化。步骤 1、确定 wireshark 安装目录，如图 5-1图 5-1内部公开19 / 24 内部文件，请勿扩散步骤
15、 2、操作方法：【计算机】=【属性】=【高级系统设置】=【高级】=【环境变量】在弹出的窗口中确认“用户变量”有没有“path”变量，如果没有则选择“新建” ，在弹出的窗口中“变量名”为“path” ，对应的变量值则为 wireshark 的安装路径。若已经存在“path”变量，则只需要编辑“path”变量，将 wireshark 的安装路径作为变量值输入，注意：若“path”变量中已存在其他变量，则需要用“；”分号将各个变量隔开。系统变量的设置方法与用户变量的设置方法一致。【说明】“用户变量”与“系统变量”的区别：用户变量只对当前用户有效，而系统变量对所有用户都生效。所以如果需要此设置对其他用
16、户也生效，则只需设置系统变量即可。图 5-2内部公开20 / 24 内部文件，请勿扩散图 5-3内部公开21 / 24 内部文件，请勿扩散图 5-4步骤 3、操作方法：将下面的内容复制到记事本中，然后保存为.bat 格式，命名为“批量转化报文格式.bat”if exist subdirs.txt del subdirs.txtnul dir /d /b /a:-d subdirs.txt for /f %i in (subdirs.txt ) do tshark -r %i -F pcap -w converted/%i pause del subdirs.txtnul内部公开22 / 24
17、内部文件，请勿扩散图 5-5步骤 4、操作方法：将上一步创建的脚本放到需要转化的报文目录下，然后新建一个文件夹并命名为“converted” ，用于存放格式转化后的报文。图 5-6步骤 5、操作方法：双击脚本“批量转化报文格式.bat” ，弹出一个 cmd 窗口会显示脚本正在执行转化的状态，文件转化完成后会显示如下图所示文字提醒“请按任意键继续” ，敲击内部公开23 / 24 内部文件，请勿扩散任意键即可完成脚本执行，脚本自动退出。图 5-7步骤 6、操作方法：脚本执行过程中会自动生成 subdirs.txt，该文件内容记录的是成功完成转化的报文列表。打开 converted 目录，我们就可以看到已完成格式转化的报文了。内部公开24 / 24 内部文件，请勿扩散图 5-8打开 converted 目录图 5-9更多信息请访问 www.wireshark.org
