Wireshark

应用

Wireshark 使用目的

以下是一些使用 Wireshark 目的的例子：

网络管理员使用 Wireshark 来检测网络问题，网络安全工程师使用 Wireshark 来检查资讯安全相关问题，开发者使用 Wireshark 来为新的通讯协定除错，普通使用者使用 Wireshark 来学习网络协定的相关知识。当然，有的人也会“居心叵测”的用它来寻找一些敏感信息……

Wireshark 不是入侵侦测系统（Intrusion Detection System,IDS）。对于网络上的异常流量行为，Wireshark 不会产生警示或是任何提示。然而，仔细分析 Wireshark 撷取的封包能够帮助使用者对于网络行为有更清楚的了解。Wireshark 不会对网络封包产生内容的修改，它只会反映出流通的封包资讯。Wireshark 本身也不会送出封包至网络上。

发展简史

1997 年底，GeraldCombs 需要一个能够追踪网络流量的工具软件作为其工作上的辅助。因此他开始撰写 Ethereal 软件。Ethereal 在经过几次中断开发的事件过后，终于在 1998 年 7 月释出其第一个版本 v0.2.0。自此之后，Combs 收到了来自全世界的修补程式、错误回报与鼓励信件。Ethereal 的发展就此开始。不久之后，GilbertRamirez 看到了这套软件的开发潜力并开始参予低阶程式的开发。1998 年 10 月，来自 NetworkAppliance 公司的 GuyHarris 在寻找一套比 tcpview（另外一套网络封包撷取程式）更好的软件。于是他也开始参与 Ethereal 的开发工作。1998 年底，一位在教授 TCP/IP 课程的讲师 RichardSharpe，看到了这套软件的发展潜力，而后开始参与开发与加入新协定的功能。在当时，新的通讯协定的制定并不复杂，因此他开始在 Ethereal 上新增的封包撷取功能，几乎包含了当时所有通讯协定。

自此之后，数以千计的人开始参与 Ethereal 的开发，多半是因为希望能让 Ethereal 撷取特定的，尚未包含在 Ethereal 默认的网络协定的封包而参与新的开发。2006 年 6 月，因为商标的问题，Ethereal 更名为 Wireshark。

工作流程

（1）确定 Wireshark 的位置。如果没有一个正确的位置，启动 Wireshark 后会花费很长的时间捕获一些与自己无关的数据。

（2）选择捕获接口。一般都是选择连接到 Internet 网络的接口，这样才可以捕获到与网络相关的数据。否则，捕获到的其它数据对自己也没有任何帮助。

（3）使用捕获过滤器。通过设置捕获过滤器，可以避免产生过大的捕获文件。这样用户在分析数据时，也不会受其它数据干扰。而且，还可以为用户节约大量的时间。

（4）使用显示过滤器。通常使用捕获过滤器过滤后的数据，往往还是很复杂。为了使过滤的数据包再更细致，此时使用显示过滤器进行过滤。

（5）使用着色规则。通常使用显示过滤器过滤后的数据，都是有用的数据包。如果想更加突出的显示某个会话，可以使用着色规则高亮显示。

（6）构建图表。如果用户想要更明显的看出一个网络中数据的变化情况，使用图表的形式可以很方便的展现数据分布情况。

（7）重组数据。Wireshark 的重组功能，可以重组一个会话中不同数据包的信息，或者是一个重组一个完整的图片或文件。由于传输的文件往往较大，所以信息分布在多个数据包中。为了能够查看到整个图片或文件，这时候就需要使用重组数据的方法来实现。

时标

时标依赖于抓包电脑的系统时间。有一点需要注意：抓取的第一条和最后一条报文的时标并不是高度精确的。

过滤器

Wireshark 拥有强大的过滤器引擎，用户可以使用过滤器筛选出有用的数据包，排除无关信息的干扰。