Wireshark數(shù)據(jù)包分析三板斧

作者：IT管理局 2020-09-03 15:32:08

Wireshark是IT技術(shù)人員必備大殺器，Wireshark分析數(shù)據(jù)包的能力十分強大，能夠分析IT界的各種數(shù)據(jù)包。本運維老狗利用和業(yè)務(wù)同學撕逼的空隙，總結(jié)了Wireshark數(shù)據(jù)包分析三板斧。

引言

咱們以理服人，通過數(shù)據(jù)包的分析來證明系統(tǒng)沒問題、網(wǎng)絡(luò)沒問題。每板斧都能砍透甩鍋同學的腦門，讓撕逼從此優(yōu)雅從容。

好了，廢話不多說，下面來展示三板斧。

第一板斧：參數(shù)設(shè)置功能使用

Wireshark默認的參數(shù)設(shè)置能夠滿足絕大多數(shù)的場景需求，但是咱們不能滿足于此對吧，下面第一板斧介紹一些參數(shù)優(yōu)化設(shè)置，讓數(shù)據(jù)分析更深入。

1.協(xié)議參數(shù)的優(yōu)化

A.相對序列號：系統(tǒng)默認使用相對序列號是為了在分析會話時，易讀易看。

但這也會同學們帶來困惑：序列號不是由隨機生成的32bit數(shù)值作為初始值么，技術(shù)書中都是這么說的，怎么看到seq都是從1開始的呢?

咱們這里可以可通過去掉勾選，看到真實的序列號，達到書中的效果。

B.計算會話時間戳：開啟后會顯示首幀距此幀，上一幀距此幀的時間間隔。適用于排查業(yè)務(wù)超時類故障。

2.顯示時間的調(diào)整

A.不同的同學可根據(jù)自己的閱讀習慣具體調(diào)整每幀顯示的時間格式及時間精度。

B.設(shè)置參考時間，將某幀設(shè)置為參考時間，后續(xù)的幀以此幀為基準時間。適用于排查業(yè)務(wù)超時類故障。

第二板斧：查找數(shù)據(jù)包、顯示過濾器

Wireshark的功能強大的原因之一就是因為它有豐富的過濾條件表達式，能夠準確過濾和分析出想要的數(shù)據(jù)信息。下面就第二板斧做詳細介紹。

1.查找數(shù)據(jù)包

該模塊只顯示分組，并不進行過濾。點擊"放大鏡"按鈕，出現(xiàn)顯示過濾器的下拉框，下面給同學們展示下拉框中的四種過濾條件。

A."顯示過濾器"：查找包含符合過濾規(guī)則的幀。具體過濾條件在捕獲過濾器中介紹。

B."十六進制"：查找包含相應(yīng)十六進制的幀。比如查找MAC地址。

C."字符串"：查找包含相應(yīng)字符串的幀。比如在報文中查找域名。

D."正則表達式"：查找包含相應(yīng)正則表達式的幀。正則表達式的詳細用法，這里不做介紹，有興趣的同學可移步百度自行學習。

E.標記數(shù)據(jù)包：對特定數(shù)據(jù)包進行標記。

下圖中使用黑底白字標記了2233和2236兩幀，方便在整個數(shù)據(jù)包查找。

同時，標記的數(shù)據(jù)包可以進行具體導(dǎo)出。也可導(dǎo)出兩標記之間的數(shù)據(jù)包。如下圖所示。

2.顯示過濾器

顯示過濾器會過濾出來符合條件的數(shù)據(jù)包，并加以顯示。為了讓同學們更好的掌握顯示過濾器的用法，下面按照TCP/IP層級模型歸類了常用的過濾器。

A.以太網(wǎng)過濾器

eth.addr == e8:fc:af:f7:7e:35 #顯示指定MAC地址的數(shù)據(jù)幀  
eth.src == e8:fc:af:f7:7e:35 #顯示指定源MAC地址的數(shù)據(jù)幀  
eth.dst == e8:fc:af:f7:7e:35 #顯示指定目的MAC地址的數(shù)據(jù)幀  
eth.type == 0x0800 #顯示指定類型(這里顯示TCP)的幀

B.IP過濾器

ip #顯示網(wǎng)絡(luò)層為IP類型的數(shù)據(jù)包  
ip.addr = 192.168.0.1 #顯示包含指定IP地址的數(shù)據(jù)包  
ip.src == 192.168.0.1 #顯示包含指定源IP地址的數(shù)據(jù)包  
ip.dst == 192.168.0.1 #顯示包含指定目的IP地址的數(shù)據(jù)包  
ip.len == 40 #顯示包含指定長度(IP首部+數(shù)據(jù)部分)的IP數(shù)據(jù)包

Wireshark數(shù)據(jù)包分析三板斧

C.傳輸層過濾器

tcp #顯示網(wǎng)絡(luò)層為IP類型的數(shù)據(jù)包  
tcp.port == 80 #顯示指定TCP端口的數(shù)據(jù)包  
tcp.src == 80 #顯示指定TCP端口的數(shù)據(jù)包  
tcp.dst == 80 #顯示指定TCP端口的數(shù)據(jù)包  
tcp.analysis.retransmission #顯示TCP重傳數(shù)據(jù)包 
tcp.analysis.duplicate_ack #顯示TCP重復(fù)確認數(shù)據(jù)包  
tcp.analysis.zero_window #顯示包含零窗口通告信息的TCP數(shù)據(jù)包  
tcp.connection.syn #顯示TCP會話第一個包  
tcp.connection.rst #顯示TCP會話的RST包  
tcp.flags.syn ==1 #顯示TCP會話中SYN置位的包  
tcp.flags.reset ==1 #顯示TCP會話中RST置位的包  
tcp.window_size < 100 #顯示TCP窗口小于指定大小的包  
tcp.stream eq 10 #顯示特定TCP流  
tcp.len == 20 #顯示包含指定長度(TCP中的數(shù)據(jù)部分的長度)的TCP數(shù)據(jù)包

D.應(yīng)用層過濾(以HTTP為例)

http contains "XXXXX" #顯示HTTP包中包含指定內(nèi)容的數(shù)據(jù)包  
http.request.uri contains "XXXXX" #顯示HTTP請求包中包含指定內(nèi)容的數(shù)據(jù)包  
http.time >=0.1 #顯示HTTP響應(yīng)時間大于等于指定時間的數(shù)據(jù)包  
http.request #顯示HTTP請求數(shù)據(jù)包  
http.respone #顯示HTTP應(yīng)答數(shù)據(jù)包  
http.response.code == 404 #顯示代碼為404的HTTP響應(yīng)數(shù)據(jù)包  
http.content_length < 10 #顯示HTTP的內(nèi)容長度小于指定長度的數(shù)據(jù)包  
E.按時間過濾  
frame.time == "May 27, 2019 15:23:57.932344000"  
#顯示特定時間的數(shù)據(jù)包  
frame.time >= "May 27, 2019 15:23:57.0" && frame.time < "May 27, 2019 15:23:58.0"  
#顯示時間間隔的數(shù)據(jù)包