1.捕获过滤器规则 |
1.1 作用
捕获过滤器在开始捕捉之前设置，用于从源头控制被过滤的包内容，仅符合规则的包会被捕获并记录进捕获日志文件。
1.2 语法规则
字段：[Protocol][Direction][Host(s)][Value][Logical Operations][Other expression]
例子： tcp dst port 80 and tcp dst 192.168.1.2
● Protocol
说明：用于协议过滤，未指定则默认使用所有支持的协议，直接使用逻辑运算符拼接
取值举例：ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp, udp, tcp or udp
● Direction
说明：指定数据方向，来源或目的地，未指定默认为两个方向都支持（src or dst）。
取值举例：src, dst, src and dst, src or dst
● Host(s) Value
说明：指定通信参数，包括主机地址、端口、端口范围等，未指定则认为指定的值表示主机地址（host）。
取值举例：net, port, host, portrange
● Logical Operations
说明：逻辑运算符，可用于任意位置的条件组合；“not”具有最高优先级，“and”、“or”具有相同的优先级，运算时从左到右进行。
取值：not, and, or
● 关键字作为值
说明：使用关键字作为值时，需要使用反斜杠‘/’进行转义。
1.3 应用举例
条件 | 规则语句 |
TCP目的端口为1234 | tcp dst port 1234 |
源IP地址为192.168.1.2 | ip src (host) 192.168.1.2（“host”关键字可选） |
与IP地址192.168.1.2交互的数据包 | host 192.168.1.2 （需要开头的“host”） |
与指定MAC地址主机交互的数据包（设置为路由器MAC可过滤外网通信数据包） | ether host XX-XX-XX-XX-XX-XX |
端口号在10000-20000范围内的UDP或TCP包 | tcp or udp portrange 10000-20000 |
除了icmp协议以外的其他包 | not icmp |
源IP为192.168.1.2，目的地址不是192.168.0.0/16网段的包 | src host 192.168.1.2 and not dst net 192.168.0.0/16 |
源IP为192.168.1.2或源网段为192.168.0.0/16且TCP目的端口为12345、目的网段为192.169.0.0/16的包 | (src host 192.168.1.2 or src net 192.168.0.0/16) and tcp dst port 123456 and dst net 192.169.0.0/16 |
不抓取广播包 | not broadcast |
2.显示过滤器规则 |
1.1 作用
显示过滤器用于在已经捕获到的结果中过滤数据用于显示，规则仅影响界面显示的数据，不影响记录捕获结果的日志文件；捕捉过程中可随意更改。
1.2 语法规则
字段：[Protocol].[Key1].[Key2].[...][Comparsion operator][Value][Logical Operations][Other expression]
例子：tcp . dst . ip == 192.168.1.2 or http
1.3 常用Key值
类型 | Key |
比较运算符 | ==(eq), !=(ne), >(gt), <(lt), >=(ge), <=(le) contains：包含 matches：匹配 |
逻辑运算符 | &&(and), ||(or), ^^(xor), !(not) […]：切片，指定位置的数据匹配 |
协议 | tcp udp ftp snmp dns icmp |
端口 | port：通信端口 srcport：源端口 dstport：目的端口 |
IP地址 | ip.addr：通信IP地址 ip.src：源地址 ip.dst：目的地址 |
http | http.host：域名 http.request.method：请求方式 http.request.uri：过滤请求的URI http.response.code：返回状态码 |
其他 | flags：标志位相关信息 frame：帧相关内容 eth：物理地址（MAC）相关的过滤 |
1.4 应用举例
条件 | 规则语句 |
仅显示ICMP或DNS包 | icmp || dns |
与IP地址192.168.1.2交互的包 | ip.addr==192.168.1.1 |
来源IP为192.168.1.2但目的IP不为192.168.1.3的包 | ip.src==192.168.1.2 && ip.dst==192.168.1.3 |
通信端口为1234或目的端口为6789的TCP包 | tcp.port==1234 |
包含TCP标识信息且标识信息不是PSH的包 | tcp.flags && (!tcp.flags.push) |
UDP端口大于10000的包 | udp.port > 10000 |
HTTP请求URI为“XXXX”且方法为POST | http.request.uri==“XXXX” && http.request.method == post |
HTTP请求URI中包含“XXXX”内容 | http.request.uri contains “XXXX” |
HTTP请求中域名包含“XXXX.com” | http.host contains “XXXX.com” |
HTTP请求中有 “ABCD”内容的包 | http contains “ABCD” |
HTTP请求状态码不为200的包 | !(http.response.code == 200) |
UDP校验和为0x1234的包 | udp.checksum == 0x1234 |
UDP和校验失败的包 | udp.checksum.bad |
与MAC地址AA:AA:AA:AA:AA:AA交互且目的MAC不是BB:BB:BB:BB:BB:BB的包 | eth.addr==AA:AA:AA:AA:AA:AA && eth.dst != BB:BB:BB:BB:BB:BB |
帧号小于50的包 | frame.number < 50 |
数据长度为100的包 | data.len == 100 |
3.TCP建立连接和断开连接抓包示例 |
3.1 数据说明
● 每一行记录标识抓到的一个网络数据包，记录行中展示了源IP地址（Source）、目的IP地址（Destination）、协议(Protocol)、数据长度(Length)以及概要信息(Info)等内容。
[]"内为指定的协议头部标识为是否生效，如[SYN，ACK]标识AYN和ACK标识为均为1。
● 点击记录行，下方窗体将展示当前记录行的详细信息，可展开和收缩，当前页面展示的是第2条记录的相关信息，数据基本分为以下几个层级：
Frame：物理层，含数据包封装类型、帧号、帧长度等基本信息。
Ethernet II：数据链路层，主要为双方的MAC地址等头部信息。
Internet Protocol Version XX：网络层，主要为IP协议封装等，含版本、通信IP地址、总长度等信息。
Transmission Control Protocol[Data]：传输层，主要为TCP、UDP协议封装等，含通信端口、标识等TCP头部信息以及具体的数据内容。
● 传输层展示的信息较常关注，如图1所示能够直接展开查看当前序号、确认序号、头部标识每一位的信息。
注：图1中每条记录左侧标注的‘1’、‘2’、‘3‘等序号将在后续分析过程中直接使用。
图1 TCP连接管理示例
3.2 TCP建立连接过程分析
● 1、7：客户端发送SYN标识为1（[SYN]），请求序号为0（Seq=0）的“第一次握手”数据包至服务端（客户端进入“SYN-SENT”状态）；
● 2、8：服务端确认客户端请求，回复SYN和ACK标识均为1（[SYN, ACK]），请求序号为0（Seq=0），确认序号为1（Ack=1）的“第二次握手”数据包至客户端（服务端进入“SYN-RCVD”状态）；
● 3、9：客户端收到确认请求，再次向服务端发送ACK标识为1（[ACK]），请求序号为1（Seq=1），确认序号为1（Ack=1）的“第三次握手”数据包至服务端（客户端直接进入、服务端在收到确认报文后进入“ESTABLISHED”状态）。
注1：“第二次握手”服务端回复的确认序号为客户端发送的“第一次握手”请求序号+1；“第三次握手”客户端回复的确认的确认序号为服务端回复的“第二次握手”请求序号+1。
注2：序列号Seq和确认序列号Ack均是Wireshrk内部自行处理后的相对序列号”，非原始序列号可通过点击菜单【编辑】->【首选项】->【Protocols】->【TCP】，在弹出的页面中去掉对应的参数项 关闭，如图2所示。
图2 Wireshark关闭相对序列号显示
3.3 TCP服务端断开连接过程分析
● 10：服务端发送FIN和ACK标识均为1（[FIN, ACK]），请求序号为1（Seq=1），确认序号为1（Ack=1）的“第一次握手”数据包至客户端（服务端进入“FIN-WAIT-1”状态）；
● 11：客户端确认服务端的断开请求，回复ACK标识为1（[ACK]），请求序号为1（Seq=1），确认序号为2（Ack=2）的“第二次握手”数据包（客户端进入“CLOSE-WAIT”状态，服务端收到回复后进入“FIN-WAIT-2”状态）；
● 12：客户端清理完本地环境，确认可以断开连接时，发送FIN和ACK标识为1，请求序号为1，确认序号为2的“第三次握手”数据包至服务端（客户端进入“LAST-ACK”状态）；
● 13：服务端收到客户端断开请求后，发送ACK标识为1（[ACK]），请求序号为2（Seq=2），确认序号为2（Ack=2）的“第四次握手”数据包至客户端。（服务端进入“TIME-WAIT”状态，2MSL后可进入“CLOSED”状态；客户端收到确认报文后直接进入“CLOSED”状态）。
注1：“第二次握手”和“第三次握手”发送的请求序号均为“第一次握手”的确认序号，确认序号为“第一次握手”请求序号+1；“第四次握手”与“第三次握手”序号关系类似。
注2：“第二次握手”完成后，主动断开的一方将不能再发送出握手报文外的其他报文数据，但仍能够接收数据；被动断开的一方可以将待发送数据处理完毕之后再确认是否断开连接。
3.4 TCP客户端断开连接过程分析
● 4：客户端发送FIN和ACK标识均为1（[FIN, ACK]），请求序号为1（Seq=1），确认序号为1（Ack=1）的“第一次握手”数据包至服务端（客户端进入“FIN-WAIT-1”状态）；
● 5：服务端确认客户端的断开请求，回复ACK标识为1（[ACK]），请求序号为1（Seq=1），确认序号为2（Ack=2）的“第二次握手”数据包（服务端进入“CLOSE-WAIT”状态，客户端收到回复后进入“FIN-WAIT-2”状态）；
● 6：服务端一直未发送确认断开连接的第三、四次握手数据包，客户端在等待超时后直接发起RST和ACK标识均为1，请求序号为1，确认序号为1的数据包，强行终止连接（此时会清空数据缓冲区，双方也不需要进行回复确认）。
注：本示例中情况特殊，服务端未回复确认断开的数据包，实际场景中客户端主动断开连接一般也有4次挥手。
4.TCP发送数据抓包示例 |
PSH标识为1（[PSH, ACK]）时表示真正发生数据内容传输。
◆ 点击选择发送数据的数据包，下方窗体“Data”层级会显示对应的数据内容和长度，下方窗体任意位置右键选择【追踪流】->【TCP流】，可以查看数据具体内容。
注：如图3所示，追踪TCP流主窗体上方展示数据内容，可在右下角“显示和保存数据为”下拉框设置数据显示的格式，一般选择“HEX 转储”，以十六进制显示保持最好的兼容性。
图3 TCP发送数据抓包示例
5.抓取本地回环地址数据包 |
不会经过网卡，而WireShark是对网卡数据进行抓取分析的，所以默认情况下，WireShark不能抓取本机内部收发的数据包。
可尝试以下两种方法抓取回环地址的数据包。
● 添加路由规则
（1）需要抓取时使用以下命令添加路由规则，表示经过指定本机IP172.27.88.88（可设置为指定网段，通过掩码确定）的数据包，全部通过172.27.88.1转发；
route add 172.27.88.88 mask 255.255.255.255 172.27.88.1（2）抓取完毕后使用以下命令删除路由信息。
route delete 172.27.88.88 注1：使用此方式仅能将本机IP作为回环地址，暂不支持“127.0.0.1”和“localhost”地址。
注2：添加此路由信息后会导致本机内部通信的数据全部通过网卡转发，会耗费大量不必要的资源，因此使用完毕后，建议删除路由。
● 安装使用“Npcap”工具
（1）下载Npcap安装包,安装过程可能要求卸载默认的“WinPcap”工具；
（2）抓包时选择名为“Npcap Loopback adapter XX”的网络接口，即可抓取本地回环地址数据包。
注1：WireShark在Windows上默认使用“WinPcap”工具抓取数据包，“Npcap”基于“WinPcap”4.1.3开发，兼容API接口。
注2：使用“Npcap”工具能够抓取“127.0.0.1”、“localhost”、本机IP等过滤条件的所有数据。
注3：可能会导致电脑无线网卡不能正常使用，卸载“Npcap”工具后即可恢复正常。
6.其他使用细节 |
6.1 抓包内容保存
（1）抓包完成后，先停止抓包，才能进行数据保存操作；
（2）要导出所有结果，随时进行特定的分析，直接点击【文件】->【保存】,将抓包结果保存为“pcapng”后缀的指定文件，后续可直接通过【文件】->【打开】菜单，导入保存的文件进行分析，如图4所示；
（3）要导出特定格式的结果，点击【文件】->【导出分组解析结果为】，选择对应的格式皆可。
纯文本格式，该格式导出的数据为当前信息展示窗体（图1中下方窗体）中所有展开的参数内容，并且对每一条记录都会做对应的展开处理，其他格式均只会记录固定的参数信息。
图4 Wireshark数据导出
6.2 抓包时报“IP checksum error”类似的错误，但应用层正常
IPV4 硬件校验和”参数选择“关闭”。
说明：一般由操作系统的TCP/IP协议栈完成TCP/UDP/IP包校验和的计算工作，设置此参数后将由网卡自己完成校验和的计算；如果没有相关参数，可能是网卡自身或网卡驱动不支持此功能；设置之后会导致网络性能的降低。
