Wireshark v3.4.6 中文版

wireshark也叫“Ethereal”是一款非常优秀的网络数据包分析器，它可以实时检测网络的交互数据，也可以检测其抓取的网络通讯数据快照文件，再可以通过图形界面浏览这些数据，以便查看网络通讯数据包中每一层的详细内容，也就是通俗的“抓包”。软件支持上百种协议和媒体类型，并且一直在增加更多协议，内置的tethereal命令行版本(类似tcpdump)让它拥有极强的平台兼容性，在Windows，Linux，macOS，Solaris，FreeBSD，NetBSD和其他许多平台上都能流畅运行。同时软件能够导出详细的IP跳转列表，因此用户可以看从己方发出的数据包需要经过多少的节点到达对方房屋，总共经过多少ms，通过这些详细数据，做到数据传输优化，从而提升访问加载速度。

由于软件是直接从包含十六进制数据包数据转储的文本文件导入数据包，因此它可以直接通过GUI或通过TTY模式TShark实用程序浏览捕获的网络数据从而打开包含使用tcpdump / WinDump，Wireshark和许多其他数据包捕获程序捕获的数据包数据的文件。标准三窗格包浏览器界面通俗好用，无需过多的窗口切换即可直观看到详细协议信息的数据包。此外该软件也支持输出导出为XML，PostScript®，CSV或纯文本，以及读/写包括tcpdump（libpcap）、Pcap NG、Catapult DCT2000、Cisco Secure IDS iplog、Tektronix K12xx、Visual Networks Visual UpTime在内的许多不同的捕获文件格式。

Wireshark中文版说明

网络管理员使用 Wireshark 来检测网络问题，网络安全工程师使用 Wireshark 来检查资讯安全相关问题，开发者使用 Wireshark 来为新的通讯协定除错，普通使用者使用 Wireshark 来学习网络协定的相关知识。当然，有的人也会“居心叵测”的用它来寻找一些敏感信息……

Wireshark 不是入侵侦测系统（Intrusion Detection System,IDS）。对于网络上的异常流量行为，Wireshark 不会产生警示或是任何提示。然而，仔细分析 Wireshark 撷取的封包能够帮助使用者对于网络行为有更清楚的了解。Wireshark 不会对网络封包产生内容的修改，它只会反映出目前流通的封包资讯。 Wireshark本身也不会送出封包至网络上。

Wireshark中文版特色

wireshark软件含有强显示过滤器语言(rich display filter language)和查看TCP会话重构流的能力;

Wireshark更支持上百种协议和媒体类型;

拥有一个类似tcpdump(一个Linux下的网络协议分析工具)的名为tethereal的的命令行版本;

在过去，网络封包分析软件是非常昂贵，或是专门属于营利用的软件;

Ethereal的出现改变了这一切;

在GNU GPL通用许可证的保障范围底下，使用者可以以免费的代价取得软件与其程式码，并拥有针对其原始码修改及客制化的权利。Ethereal是目前全世界最广泛的网络封包分析软件之一。

Wireshark中文版安装教程

一、请在该页找到下载地址处选任意地址将Wireshark软件包下载至本地，下载后双击解压并运行包内的.EXE格式程序。如下：直接单击【next】开始安装。

二、开始安装进入到Wireshark安装协议界面，请了解协议内容并同意该协议。

三、同意协议后进入到Wireshark安装附件选择界面，根据自己需求选择即可。

四、该界面也是需要大家根据自己需求选择功能，勾选即可添加。

五、接下来进入到的是Wireshark安装路径设置界面，单击【browse】即可设置。

六、以下软件截图是需要你勾选，可以检查是否存在该软件的旧版，以防冲突。

七、最后，Wireshark安装完成，单击【Finish】开始体验Wireshark吧。

Wireshark中文版使用方法

Wireshakr抓包界面

说明：数据包列表区中不同的协议使用了不同的颜色区分。协议颜色标识定位在菜单栏View --> Coloring Rules。如下所示

WireShark 主要分为这几个界面

1. Display Filter(显示过滤器)，  用于设置过滤条件进行数据包列表过滤。菜单路径：Analyze --> Display Filters。

2. Packet List Pane(数据包列表)， 显示捕获到的数据包，每个数据包包含编号，时间戳，源地址，目标地址，协议，长度，以及数据包信息。 不同协议的数据包使用了不同的颜色区分显示。

3. Packet Details Pane(数据包详细信息), 在数据包列表中选择指定数据包，在数据包详细信息中会显示数据包的所有详细信息内容。数据包详细信息面板是最重要的，用来查看协议中的每一个字段。各行信息分别为

（1）Frame:   物理层的数据帧概况

（2）Ethernet II: 数据链路层以太网帧头部信息

（3）Internet Protocol Version 4: 互联网层IP包头部信息

（4）Transmission Control Protocol:  传输层T的数据段头部信息，此处是TCP

（5）Hypertext Transfer Protocol:  应用层的信息，此处是HTTP协议

TCP包的具体内容

从下图可以看到wireshark捕获到的TCP包中的每个字段。

4. Dissector Pane(数据包字节区)。

Wireshark过滤器设置

初学者使用wireshark时，将会得到大量的冗余数据包列表，以至于很难找到自己自己抓取的数据包部分。wireshar工具中自带了两种类型的过滤器，学会使用这两种过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。

（1）抓包过滤器

捕获过滤器的菜单栏路径为Capture --> Capture Filters。用于在抓取数据包前设置。

如何使用？可以在抓取数据包前设置如下。

ip host 60.207.246.216 and icmp表示只捕获主机IP为60.207.246.216的ICMP数据包。获取结果如下：

（2）显示过滤器

显示过滤器是用于在抓取数据包后设置过滤条件进行过滤数据包。通常是在抓取数据包时设置条件相对宽泛，抓取的数据包内容较多时使用显示过滤器设置条件顾虑以方便分析。同样上述场景，在捕获时未设置捕获规则直接通过网卡进行抓取所有数据包，如下

执行ping www.huawei.com获取的数据包列表如下

观察上述获取的数据包列表，含有大量的无效数据。这时可以通过设置显示器过滤条件进行提取分析信息。ip.addr == 211.162.2.183 and icmp。并进行过滤。