Wireshark是一個(gè)專業(yè)的網(wǎng)絡(luò)抓包以及協(xié)議分析軟件，它可以實(shí)時(shí)檢測(cè)網(wǎng)絡(luò)通訊數(shù)據(jù)，也可以檢測(cè)其抓取的網(wǎng)絡(luò)通訊數(shù)據(jù)快照文件，最重要的是它是免費(fèi)使用的，是網(wǎng)絡(luò)工程師的好幫手，讓其輕松的去抓包分析網(wǎng)絡(luò)，有需要的不要錯(cuò)過(guò)。

【使用教程】

　　下面來(lái)說(shuō)一下Wireshark在抓包后常用的過(guò)濾方法，給網(wǎng)絡(luò)初學(xué)者一個(gè)參考。

　　1、過(guò)濾源ip、目的ip。

　　在wireshark的過(guò)濾規(guī)則框Filter中輸入過(guò)濾條件。如查找目的地址為192.168.101.8的包，ip.dst==192.168.101.8；查找源地址為ip.src==1.1.1.1

　　2、端口過(guò)濾

　　如過(guò)濾80端口，在Filter中輸入，tcp.port==80，這條規(guī)則是把源端口和目的端口為80的都過(guò)濾出來(lái)。使用tcp.dstport==80只過(guò)濾目的端口為80的，tcp.srcport==80只過(guò)濾源端口為80的包

　　3、協(xié)議過(guò)濾

　　比較簡(jiǎn)單，直接在Filter框中直接輸入?yún)f(xié)議名即可，如過(guò)濾HTTP的協(xié)議

　　4、http模式過(guò)濾

　　如過(guò)濾get包，http.request.method=="GET",過(guò)濾post包，http.request.method=="POST"

　　5、連接符and的使用。

　　過(guò)濾兩種條件時(shí)，使用and連接，如過(guò)濾ip為192.168.101.8并且為http協(xié)議的，ip.src==192.168.101.8 and http。

【過(guò)濾規(guī)則】

　　只抓取符合條件的包，在Wireshark通過(guò)winpacp抓包時(shí)可以過(guò)濾掉不符合條件的包，提高我們的分析效率。

　　如果要填寫過(guò)濾規(guī)則，在菜單欄找到capture->options,彈出下面對(duì)話框，在capture filter輸入框內(nèi)填寫相應(yīng)的過(guò)濾規(guī)則，點(diǎn)擊下方的start 就生效了。

　　1.只抓取HTTP報(bào)文

　　tcp port 80

　　解析：上面是只抓取tcp 協(xié)議中80端口的包，大部分Web網(wǎng)站都是工作在80端口的，如果碰到了81端口呢？可以使用邏輯運(yùn)算符or唄！如 tcp port 80 or tcp port 81

　　2.只抓取arp報(bào)文

　　ether proto 0x0806

　　解析：ether表示以太網(wǎng)頭部，proto表示以太網(wǎng)頭部proto字段值為0x0806，這個(gè)字段的值表示是ARP報(bào)文，如果的ip報(bào)文此值為0x8000

　　3.只抓取與某主機(jī)的通信

　　host? 網(wǎng)站名稱

　　只抓取服務(wù)器的通信,src表示源地址，dst表示目標(biāo)地址

【顯示規(guī)則說(shuō)明】

　　只是將已經(jīng)抓取到的包進(jìn)行過(guò)濾顯示?？梢栽谲浖?yè)面下方的輸入框添入相應(yīng)的規(guī)則點(diǎn)擊apply即可，如果需要清除這一次的顯示過(guò)濾點(diǎn)擊Clear即可

　　1、只顯示HTTP報(bào)文【tcp.port == 80】

　　2、只顯示ARP報(bào)文【eth.type == 0x806】

　　也許你會(huì)說(shuō)Type后面的值記不住，沒關(guān)系可以點(diǎn)擊Expression會(huì)彈出Filter Expression窗口，如下圖：

　　3、只顯示與某主機(jī)的通信【ip.addr == 42.121.252.58】

　　4、只顯示ICMP報(bào)文【Icmp】

【更多版本下載】

　　這個(gè)Wireshark版本是適用于32位系統(tǒng)的用戶，如果有需要64位的軟件請(qǐng)下載下面的版本，同時(shí)我們也提供了其他的相關(guān)版本，有需要的請(qǐng)看下面的下載表格。