1.工具简介
(1)定义
WireShark是一个网络封包分析软件。网络封包分析软件的功能是抓取网络封包，并尽可能显示出最为详细的网络封包资料。使用WinPACA作为接口，直接与网卡进行数据报文交换。
(2)嗅探器工作原理
- 收集：从网络线缆上收集原始二进制数据，一般通过选定网卡设置为混杂模式，然后抓取网段所有通信流量而不是发往它的数据包。
- 转换：将二进制转换成可读形式，以一种非常基础解析方法显示，而大部分分析工作留给用户。
- 分析：嗅探器以捕获网络数据作为输入，识别和验证它们的协议，然后开始分析每个协议的特定属性。
(3)使用技巧
①确定WireShark物理位置（在网络线路哪个节点上）。若没有正确位置，启动后会花很长时间捕获一些与自己无关的数据。
②选择捕获接口。一般是选择连接到Internet网络的接口，这样才可以捕获到与网络相关的数据。
③使用捕获过滤器。设置过滤器可以避免产生大量无关数据
④使用显示过滤器。进一步过滤分析。
⑤使用着色规则。通过使用显示过滤器过滤后的数据，都是有用的数据包。如果想更加突出的显示某个会话，可以使用着色规则高亮显示。
⑥构建图表。可视化分析
⑦重组数据。当传输较大文件时，需要将信息分布在多个数据包中。此时需要使用重组数据方法抓取完整数据。WireShark可以重组一个会话中不同数据包的信息，或者是重组一个完整的文件。
(4)使用场景——交换式环境
不同于集线器网络中广播传递，交换式网络捕获流量基本方法有：①端口镜像、②集线器接出（hubbing out）、③使用网络分流器、④ARP欺骗攻击。
2.功能使用
(1)混杂模式
①概述
接受所有经过网卡的数据包，包括不是发给本机的包，即不验证MAC地址。普通模式下网卡只接收发给本机的包（包括广播包）传递给上层程序，其他的包一律丢弃。
一般来说，混杂模式不会影响网卡的正常工作，多在网络监听工具上使用。
②开启和关闭
(2)过滤器应用
①筛选 TCP 的数据包
②筛选源地址是 192.168.1.53 或目的地址是 192.168.1.1
③查看源地址或目标地址均为192.168.1.53 → ip.addr==192.168.1.53
3.协议
(1)定义
又称网络语言，协议栈是一组协同工作的网络协议的逻辑组合。帮助我们定义如何路由数据包，如何发起连接，以及如何确认收到数据。协议共同问题：
- 发起连接：由客户端还是服务器发起？在真正通信前必须交换哪些信息？
- 协商连接参数：通信需要进行协议加密吗？加密密钥如何在通信双方之间传输？
- 数据格式：通信数据在数据包中如何排列？数据到达设备时以什么顺序处理？
- 错误检测与校正：当数据包花太长时间到达目的地如何处理？当客户端暂时无法和服务器建立通信连接，如何恢复？
- 连接终止：一台主机如何通知另一台主机通信结束？终止链接应该发送什么最终信息？
(2)ARP协议分析
定义：通过解析网络层IP地址来找寻数据链路层的MAC地址
①查看 Address Resolution Protocol (request) ARP 请求包内容
Address Resolution Protocol (request) #ARP 地址解析协议 request 表示请求包
Hardware type: Ethernet (1) #硬件类型
Protocol type: IPv4 ( 0x0800 ) #协议类型
Hardware size: 6 #硬件地址
Protocol size: 4 #协议长度
Opcode:_ request ( 1 ) #操作码，该值为 1 表示 ARP 请求包
Sender MAC address: Vmware_ 96:67:52 (00:0c:29:8b:2b:b8) #源 MAC 地址
Sender IP address: 192.168.1.53 . #源 IP 地址
Target MAC address: 00:00:00_ 00: 00:00 (00: 00: 00 :00: 00:00) #目标 MAC 地址
Target IP address: 192.168.1.1 #目标 IP 地址
②ARP应答/第二个数据包内容
Address Resolution Protocol (reply) #ARP 地址解析协议 reply 表示回复包
Hardware type: Ethernet (1) #硬件类型
Protocol type: IPv4 ( 0x0800 ) #协议类型
Hardware size: 6 #硬件地址
Protocol size: 4 #协议长度
Opcode:_ reply ( 2 ) #操作码，该值为 2 表示 ARP 回复包
Sender MAC address: XXXXXXXXXXXX (a4:56:02:3b:4b:03) #源 MAC 地址
Sender IP address: 192.168.1.1 . #源 IP 地址
Target MAC address: 00:00:00_ 00: 00:00 (00:0c:29:8b:2b:b8) #目标 MAC 地址
Target IP address: 192.168.1.53 #目标 IP 地址总结：可以看到到应答包补全了自己的 MAC 地址，目的地址和源地址做了替换
③ARP info内过程
192.168.1.53广播询问：谁有 192.168.1.1 的 MAC 地址？
192.168.1.1 单播应答：192.168.1.1 的 MAC 地址是 xxxxxxxxxxx
(3)ICMP协议分析
工作过程：
- 本机发送一个 ICMP Echo Request 的包
- 接受方返回一个 ICMP Echo Reply，包含了接受到数据拷贝和一些其他指令
①ICMP请求包
②ICMP响应包
(4)TCP协议分析——三次握手
①第一次握手，53209端口主动申请连接22端口（SYN）
②第二次握手，53209端口主动申请连接22端口（SYN+ACK）
SYN=1，ACK=1
表示回应第一个 SYN 数据包 134号帧。
③第三次握手，53209端口主动申请连接22端口（ACK）
ACK=1
表示回应第二个 SYN 数据包 135号帧
【可视化分析】
统计→流量图→过滤TCP类型
(5)TCP协议分析——四次挥手
过程解释：
- 第一次挥手：服务端发送一个[FIN+ACK]，表示自己没有数据要发送了，想断开连接，并进入FIN_WAIT_1 状态
- 第二次挥手：客户端收到 FIN 后，知道不会再有数据从服务端传来，发送ACK进行确认，确认序号为收到序号+1（与 SYN 相同，一个 FIN 占用一个序号），客户端进入 CLOSE_WAIT 状态。
- 第三次挥手：客户端发送[FIN+ACK]给对方，表示自己没有数据要发送了，客户端进入LAST_ACK 状态，然后直接断开 TCP 会话的连接，释放相应的资源。
- 第四次挥手：服务户端收到了客户端的 FIN 信令后，进入 TIMED_WAIT 状态，并发送ACK确认消息。服务端在 TIMED_WAIT 状态下，等待一段时间，没有数据到来，就认为对面已经收到了自己发送的ACK 并正确关闭了进入 CLOSE 状态，自己也断开了 TCP 连接，释放所有资源。当客户端收到服务端的ACK 回应后，会进入 CLOSE 状态并关闭本端的会话接口，释放相应资源。
(6)HTTP协议分析（一次curl请求）
curl -I baidu.com
第一步：我们我们发送了一个HTTP 的 HEAD请求
第二步：服务器收到我们的请求返回了一个Seq/ACK进行确认
第三步：服务器将 HTTP 的头部信息返回给我们客户端 状态码为 200表示页面正常
第四步：客户端收到服务器返回的头部信息向服务器发送 Seq/ACK 进行确认
发送完成之后客户端就会发送 FIN/ACK 来进行关闭链接的请求。
(7)实战：WireShark 抓包解决服务器被黑上不了网
①场景：服务器被黑上不了网，可以 ping 通网关，但是不能上网
②模拟场景：修改主机 TTL 值为 1，下面的方式是我们临时修改内核参数。
- root@xuegod53:~# echo "1" > /proc/sys/net/ipv4/ip_default_ttl
- 【TTL介绍】
- TTL ： 数据报文的生存周期。
- 默认 linux 操作系统值：64，每经过一个路由节点，TTL 值减 1。TTL 值为 0 时，说明目标地址不可达并返回：Time to live exceeded
- 作用：防止数据包，无限制在公网中转发。
- ping 192.168.1.1 -c 1
- ping xuegod.cn -c 1
我们判断和目标之间经过多少个网络设备是根据目标返回给我们的 TTL 值来判断的，因为我们发送的数据包是看不到的。
③数据包分析
- 开启抓包，过滤 icmp 协议：ping xuegod.cn -c 1
- 然后回到 WireShark 中查看数据包。我们可以看到第一个包是发送了一个 ping 请求包 ttl=1然后呢我们收到了 192.168.1.1 返回给我们的数据包告诉我们超过数据包生存时间，数据包被丢弃。
- 然后把 TTL 值修改成 2 观察效果：
- echo "2" > /proc/sys/net/ipv4/ip_default_ttl
- ping xuegod.cn -c 1
- 我们对比数据包发现返回我们数据包被丢弃的源地址变成了 112.103.140.1，这证明了数据包在网络中已经到达了下一个网络设备才被丢弃，由此我们还判断出我们的运营商网关地址为 112.103.140.1但是我们并没有到达目标主机。
- 现在恢复系统内核参数
- echo "64" > /proc/sys/net/ipv4/ip_default_ttl
- ping xuegod.cn -c 1
- 目标返回给我们的 TTL 值为 52，这表示我们的 TTL 值需要大于 64-52=12才可以访问 xuegod.cn
- MTR 可以检测我们到达目标网络之间的所有网络设备的网络质量，首先安装MTR
- apt install -y mtr
- mtr xuegod.cn
- 检测到达 xuegod.cn 所有节点的通信质量，我们可以看到从我当前主机到目标主机之间经过 12 跳。
