最近，Wireshark 發(fā)布了其免費(fèi)和開源數(shù)據(jù)包分析器的新版本 Wireshark 3.6.0，具有所有新功能和協(xié)議。

Wireshark 是一個(gè)網(wǎng)絡(luò)嗅探器 - 一個(gè)用于抓取和分析網(wǎng)絡(luò)數(shù)據(jù)包的工具。Wireshark 可以解碼的協(xié)議數(shù)量巨大，不勝枚舉。

Wireshark 當(dāng)時(shí)于 1998 年發(fā)布，最初被稱為 Ethereal，已成為最可靠的網(wǎng)絡(luò)協(xié)議分析器之一，享有盛譽(yù)。它實(shí)時(shí)捕獲數(shù)據(jù)包并以簡(jiǎn)單易讀的格式顯示它們。2006 年，由于商標(biāo)問題，開發(fā)商不得不將其名稱改為 Wireshark 。

Wireshark 使用起來絕對(duì)安全。政府機(jī)構(gòu)、公司、非營(yíng)利組織和教育機(jī)構(gòu)使用 Wireshark 進(jìn)行故障排除和教學(xué)目的。或許，沒有比在 Wireshark 下觀察流量更好的學(xué)習(xí)網(wǎng)絡(luò)的方法了。

另一方面，由于 Wireshark 是一個(gè)強(qiáng)大的數(shù)據(jù)包嗅探器，因此存在關(guān)于其合法性的問題。它捕獲本地網(wǎng)絡(luò)上的網(wǎng)絡(luò)流量并存儲(chǔ)該數(shù)據(jù)以供離線分析。因此，您應(yīng)該只在您有權(quán)檢查網(wǎng)絡(luò)數(shù)據(jù)包的網(wǎng)絡(luò)上使用 Wireshark。

現(xiàn)在Wireshark 3.6.0穩(wěn)定版已經(jīng)發(fā)布，讓我們來看看有什么新東西。

Wireshark 3.6.0 亮點(diǎn)

在最新的 Wireshark 版本中，對(duì)顯示過濾器語法進(jìn)行了一些更改。現(xiàn)在可以使用語法a ~= b或a any_ne b恢復(fù)以前的（與 不一致的==）邏輯為不相等。此外，表達(dá)式a != b現(xiàn)在始終與 具有相同的含義!(a == b)。

特別是這意味著具有多值字段的過濾器表達(dá)式ip.addr != 1.1.1.1將按預(yù)期工作（ip.src != 1.1.1.1 and ip.dst != 1.1.1.1 結(jié)果與輸入相同）。這避免了矛盾(a == b and a != b)為true。

此外，現(xiàn)在可以使用原始字符串語法指定文字字符串，與Python 編程語言中的原始字符串相同。這可用于避免在正則表達(dá)式中使用兩級(jí)字符轉(zhuǎn)義的復(fù)雜性。

Wireshark 3.6.0 中的 TCP 對(duì)話現(xiàn)在支持完整性標(biāo)準(zhǔn)，這有助于識(shí)別具有任意組合的打開或關(guān)閉握手、有效載荷的 TCP 流。可以使用新tcp.completeness過濾器訪問它。

需要注意的是，Wireshark 現(xiàn)在支持讀取 Windows 事件跟蹤 (ETW)。創(chuàng)建了一個(gè)名為 ETW 讀取器的新 extcap，它現(xiàn)在可以打開一個(gè) etl 文件，將文件中的所有事件轉(zhuǎn)換為 DLT_ETW 數(shù)據(jù)包并寫入指定的 FIFO 目標(biāo)。

在其他值得注意的變化中，Wireshark 3.6.0 增加了對(duì)許多新協(xié)議的支持。

Wireshark 3.6.0所有變化的詳細(xì)信息可以參考 官方公告。

如何安裝 Wireshark

Wireshark 適用于所有主要的 Linux 發(fā)行版。但是，Wiresshark 開發(fā)人員提供了一個(gè)官方 PPA，您可以使用它在Ubuntu和其他基于 Ubuntu 的發(fā)行版上安裝 Wireshark 的最新穩(wěn)定版本。

打開終端并使用以下命令： 

linuxmi@linuxmi:~/www.linuxmi.com$ sudo add-apt-repository ppa:wireshark-dev/stable  
linuxmi@linuxmi:~/www.linuxmi.com$ sudo apt update 

linuxmi@linuxmi:~/www.linuxmi.com$ sudo apt install wireshark 

安裝時(shí)會(huì)詢問是否允許非超級(jí)用戶抓包。選擇Yes。

接下來，您必須將您自己的用戶添加到wireshark組中，以便該用戶可以使用 Wireshark。為此，請(qǐng)執(zhí)行以下命令： 

linuxmi@linuxmi:~/www.linuxmi.com$ sudo usermod -aG wireshark $(whoami) 

您現(xiàn)在可以通過在 Ubuntu 桌面上打開活動(dòng)來打開 Wireshark，或在在搜索欄中輸入“Wireshark”，然后單擊應(yīng)用程序。