前面说了不少对wireshark的简单操作，这里我们说说如何分析在wireshark中捕获的数据包。首先是我们耳熟能闻的TCP流数据包，我们都知道，要建立TCP连接必须经过三次握手的规则，那么，它在wireshark如何体现出来呢？我们又如何在wireshark中捕获的数据包看出三次握手呢？我们来看看下面这张图中的数据：编号44的数据包时192.168.1.4在50734端口向74.125.128
（本文出自中国云安网络佚名者）在TCP层，有个FLAGS字段，这个字段有以下几个标识：SYN, FIN, ACK, PSH, RST, URG.其中，对于我们日常的分析有用的就是前面的五个字段。它们的含义是：SYN表示建立连接，FIN表示关闭连接，ACK表示响应，PSH表示有 DATA数据传输，RST表示连接重置。其中，ACK是可能与SYN，FIN等同时使用的，比如SYN和ACK可能同时为1，它表
我们在使用wireshark进行抓包的时候，有时会要对各个端点IP地址的流量进行统计，这时我们就要用到wireshark中的查看端点的功能。当我们抓包结束后，选择Statistics中的Endpoints就可以看到各端点（IP地址）的流量统计，如下图：通过wireshark的这个功能，我们可以直观的看到捕获的流量的统计信息，这对于我们分析当前网络的行为有不小的帮助。而如果我们想要知道地址A与地址B
在网络中，我们通常不需要捕获所有的数据包，我们经常只需要捕获到我们想要的数据包就可以了，如：我们只需要捕获tcp包或者arp包等。当我们只需要捕获tcp包时，在选择网络连接（网卡）之后，先不要选择start，而是选择option，然后再弹出窗口中的capture filter栏中输入tcp即可，这样我们wireshark就只会捕获tcp类型的数据包了。你也可以使用wireshark内置的过滤规则来
wireshark理想的接入环境是集线器，但现在市场上基本已经没有纯粹的集线器卖了，现在市场上所谓的集线器大都是小交换之类的。众所周知，交换机路由器的流量都是发往目的端口的，即目的端口只会接收发往自己的数据包，而集线器则是广播型的把数据包发往整个广播域的所有端口，所以在集线器上抓包是最理想的。 wireshark在抓包时可以采取过滤的方式，只抓
Copyright © 2005-2025 51CTO.COM 版权所有 京ICP证060544号
