技术标签: wireshark 过滤器 工具 tcpip 网络通信
1.捕获过滤器规则 |
1.3 应用举例
条件 | 规则语句 |
---|---|
TCP目的端口为1234 | tcp dst port 1234 |
源IP地址为192.168.1.2 | ip src (host) 192.168.1.2(“host”关键字可选) |
与IP地址192.168.1.2交互的数据包 | host 192.168.1.2 (需要开头的“host”) |
与指定MAC地址主机交互的数据包(设置为路由器MAC可过滤外网通信数据包) | ether host XX-XX-XX-XX-XX-XX |
端口号在10000-20000范围内的UDP或TCP包 | tcp or udp portrange 10000-20000 |
除了icmp协议以外的其他包 | not icmp |
源IP为192.168.1.2,目的地址不是192.168.0.0/16网段的包 | src host 192.168.1.2 and not dst net 192.168.0.0/16 |
源IP为192.168.1.2或源网段为192.168.0.0/16且TCP目的端口为12345、目的网段为192.169.0.0/16的包 | (src host 192.168.1.2 or src net 192.168.0.0/16) and tcp dst port 123456 and dst net 192.169.0.0/16 |
不抓取广播包 | not broadcast |
2.显示过滤器规则 |
1.3 常用Key值
类型 | Key |
---|---|
比较运算符 | ==(eq), !=(ne), >(gt), <(lt), >=(ge), <=(le) contains:包含 matches:匹配 |
逻辑运算符 | &&(and), ||(or), ^^(xor), !(not) […]:切片,指定位置的数据匹配 |
协议 | tcp udp ftp snmp dns icmp |
端口 | port:通信端口 srcport:源端口 dstport:目的端口 |
IP地址 | ip.addr:通信IP地址 ip.src:源地址 ip.dst:目的地址 |
http | http.host:域名 http.request.method:请求方式 http.request.uri:过滤请求的URI http.response.code:返回状态码 |
其他 | flags:标志位相关信息 frame:帧相关内容 eth:物理地址(MAC)相关的过滤 |
1.4 应用举例
条件 | 规则语句 |
---|---|
仅显示ICMP或DNS包 | icmp || dns |
与IP地址192.168.1.2交互的包 | ip.addr==192.168.1.1 |
来源IP为192.168.1.2但目的IP不为192.168.1.3的包 | ip.src==192.168.1.2 && ip.dst==192.168.1.3 |
通信端口为1234或目的端口为6789的TCP包 | tcp.port==1234 |
包含TCP标识信息且标识信息不是PSH的包 | tcp.flags && (!tcp.flags.push) |
UDP端口大于10000的包 | udp.port > 10000 |
HTTP请求URI为“XXXX”且方法为POST | http.request.uri==“XXXX” && http.request.method == post |
HTTP请求URI中包含“XXXX”内容 | http.request.uri contains “XXXX” |
HTTP请求中域名包含“XXXX.com” | http.host contains “XXXX.com” |
HTTP请求中有 “ABCD”内容的包 | http contains “ABCD” |
HTTP请求状态码不为200的包 | !(http.response.code == 200) |
UDP校验和为0x1234的包 | udp.checksum == 0x1234 |
UDP和校验失败的包 | udp.checksum.bad |
与MAC地址AA:AA:AA:AA:AA:AA交互且目的MAC不是BB:BB:BB:BB:BB:BB的包 | eth.addr==AA:AA:AA:AA:AA:AA && eth.dst != BB:BB:BB:BB:BB:BB |
帧号小于50的包 | frame.number < 50 |
数据长度为100的包 | data.len == 100 |
3.TCP建立连接和断开连接抓包示例 |
3.2 TCP建立连接过程分析
● 1、7:客户端发送SYN标识为1([SYN]),请求序号为0(Seq=0)的“第一次握手”数据包至服务端(客户端进入“SYN-SENT”状态);
● 2、8:服务端确认客户端请求,回复SYN和ACK标识均为1([SYN, ACK]),请求序号为0(Seq=0),确认序号为1(Ack=1)的“第二次握手”数据包至客户端(服务端进入“SYN-RCVD”状态);
● 3、9:客户端收到确认请求,再次向服务端发送ACK标识为1([ACK]),请求序号为1(Seq=1),确认序号为1(Ack=1)的“第三次握手”数据包至服务端(客户端直接进入、服务端在收到确认报文后进入“ESTABLISHED”状态)。
注1:“第二次握手”服务端回复的确认序号为客户端发送的“第一次握手”请求序号+1;“第三次握手”客户端回复的确认的确认序号为服务端回复的“第二次握手”请求序号+1。
注2:序列号Seq和确认序列号Ack均是Wireshrk内部自行处理后的相对序列号”,非原始序列号可通过点击菜单【编辑】->【首选项】->【Protocols】->【TCP】,在弹出的页面中去掉对应的参数项 关闭,如图2所示。
3.3 TCP服务端断开连接过程分析
● 10:服务端发送FIN和ACK标识均为1([FIN, ACK]),请求序号为1(Seq=1),确认序号为1(Ack=1)的“第一次握手”数据包至客户端(服务端进入“FIN-WAIT-1”状态);
● 11:客户端确认服务端的断开请求,回复ACK标识为1([ACK]),请求序号为1(Seq=1),确认序号为2(Ack=2)的“第二次握手”数据包(客户端进入“CLOSE-WAIT”状态,服务端收到回复后进入“FIN-WAIT-2”状态);
● 12:客户端清理完本地环境,确认可以断开连接时,发送FIN和ACK标识为1,请求序号为1,确认序号为2的“第三次握手”数据包至服务端(客户端进入“LAST-ACK”状态);
● 13:服务端收到客户端断开请求后,发送ACK标识为1([ACK]),请求序号为2(Seq=2),确认序号为2(Ack=2)的“第四次握手”数据包至客户端。(服务端进入“TIME-WAIT”状态,2MSL后可进入“CLOSED”状态;客户端收到确认报文后直接进入“CLOSED”状态)。
注1:“第二次握手”和“第三次握手”发送的请求序号均为“第一次握手”的确认序号,确认序号为“第一次握手”请求序号+1;“第四次握手”与“第三次握手”序号关系类似。
注2:“第二次握手”完成后,主动断开的一方将不能再发送出握手报文外的其他报文数据,但仍能够接收数据;被动断开的一方可以将待发送数据处理完毕之后再确认是否断开连接。
3.4 TCP客户端断开连接过程分析
● 4:客户端发送FIN和ACK标识均为1([FIN, ACK]),请求序号为1(Seq=1),确认序号为1(Ack=1)的“第一次握手”数据包至服务端(客户端进入“FIN-WAIT-1”状态);
● 5:服务端确认客户端的断开请求,回复ACK标识为1([ACK]),请求序号为1(Seq=1),确认序号为2(Ack=2)的“第二次握手”数据包(服务端进入“CLOSE-WAIT”状态,客户端收到回复后进入“FIN-WAIT-2”状态);
● 6:服务端一直未发送确认断开连接的第三、四次握手数据包,客户端在等待超时后直接发起RST和ACK标识均为1,请求序号为1,确认序号为1的数据包,强行终止连接(此时会清空数据缓冲区,双方也不需要进行回复确认)。
注:本示例中情况特殊,服务端未回复确认断开的数据包,实际场景中客户端主动断开连接一般也有4次挥手。
4.TCP发送数据抓包示例 |
5.抓取本地回环地址数据包 |
route add 172.27.88.88 mask 255.255.255.255 172.27.88.1
(2)抓取完毕后使用以下命令删除路由信息。
route delete 172.27.88.88
注1:使用此方式仅能将本机IP作为回环地址,暂不支持“127.0.0.1”和“localhost”地址。
注2:添加此路由信息后会导致本机内部通信的数据全部通过网卡转发,会耗费大量不必要的资源,因此使用完毕后,建议删除路由。
● 安装使用“Npcap”工具
(1)下载Npcap安装包,安装过程可能要求卸载默认的“WinPcap”工具;
(2)抓包时选择名为“Npcap Loopback adapter XX”的网络接口,即可抓取本地回环地址数据包。
注1:WireShark在Windows上默认使用“WinPcap”工具抓取数据包,“Npcap”基于“WinPcap”4.1.3开发,兼容API接口。
注2:使用“Npcap”工具能够抓取“127.0.0.1”、“localhost”、本机IP等过滤条件的所有数据。
注3:可能会导致电脑无线网卡不能正常使用,卸载“Npcap”工具后即可恢复正常。
6.其他使用细节 |
6.1 抓包内容保存
(1)抓包完成后,先停止抓包,才能进行数据保存操作;
(2)要导出所有结果,随时进行特定的分析,直接点击【文件】->【保存】,将抓包结果保存为“pcapng”后缀的指定文件,后续可直接通过【文件】->【打开】菜单,导入保存的文件进行分析,如图4所示;
(3)要导出特定格式的结果,点击【文件】->【导出分组解析结果为】,选择对应的格式皆可。
注:导出的特定格式的结果时,建议选择纯文本格式,该格式导出的数据为当前信息展示窗体(图1中下方窗体)中所有展开的参数内容,并且对每一条记录都会做对应的展开处理,其他格式均只会记录固定的参数信息。
文章浏览阅读2w次,点赞7次,收藏51次。四个步骤1.创建C++ Win32项目动态库dll 2.在Win32项目动态库中添加 外部依赖项 lib头文件和lib库3.导出C接口4.c#调用c++动态库开始你的表演...①创建一个空白的解决方案,在解决方案中添加 Visual C++ , Win32 项目空白解决方案的创建:添加Visual C++ , Win32 项目这......_c#调用lib
文章浏览阅读4.6k次。苹方字体是苹果系统上的黑体,挺好看的。注重颜值的网站都会使用,例如知乎:font-family: -apple-system, BlinkMacSystemFont, Helvetica Neue, PingFang SC, Microsoft YaHei, Source Han Sans SC, Noto Sans CJK SC, W..._ubuntu pingfang
文章浏览阅读159次。表单表单概述表单标签表单域按钮控件demo表单标签表单标签基本语法结构<form action="处理数据程序的url地址“ method=”get|post“ name="表单名称”></form><!--action,当提交表单时,向何处发送表单中的数据,地址可以是相对地址也可以是绝对地址--><!--method将表单中的数据传送给服务器处理,get方式直接显示在url地址中,数据可以被缓存,且长度有限制;而post方式数据隐藏传输,_html表单的处理程序有那些
文章浏览阅读1.2k次。使用说明:开启Google的登陆二步验证(即Google Authenticator服务)后用户登陆时需要输入额外由手机客户端生成的一次性密码。实现Google Authenticator功能需要服务器端和客户端的支持。服务器端负责密钥的生成、验证一次性密码是否正确。客户端记录密钥后生成一次性密码。下载谷歌验证类库文件放到项目合适位置(我这边放在项目Vender下面)https://github.com/PHPGangsta/GoogleAuthenticatorPHP代码示例://引入谷_php otp 验证器
文章浏览阅读4.3k次,点赞5次,收藏11次。matplotlib.plot画图横坐标混乱及间隔处理_matplotlib更改横轴间距
文章浏览阅读2.2k次。①Storage driver 处理各镜像层及容器层的处理细节,实现了多层数据的堆叠,为用户 提供了多层数据合并后的统一视图②所有 Storage driver 都使用可堆叠图像层和写时复制(CoW)策略③docker info 命令可查看当系统上的 storage driver主要用于测试目的,不建议用于生成环境。_docker 保存容器
文章浏览阅读834次,点赞27次,收藏13次。网络拓扑结构是指计算机网络中各组件(如计算机、服务器、打印机、路由器、交换机等设备)及其连接线路在物理布局或逻辑构型上的排列形式。这种布局不仅描述了设备间的实际物理连接方式,也决定了数据在网络中流动的路径和方式。不同的网络拓扑结构影响着网络的性能、可靠性、可扩展性及管理维护的难易程度。_网络拓扑csdn
文章浏览阅读1.8k次,点赞5次,收藏8次。IOS系统Date的坑要创建一个指定时间的new Date对象时,通常的做法是:new Date("2020-09-21 11:11:00")这行代码在 PC 端和安卓端都是正常的,而在 iOS 端则会提示 Invalid Date 无效日期。在IOS年月日中间的横岗许换成斜杠,也就是new Date("2020/09/21 11:11:00")通常为了兼容IOS的这个坑,需要做一些额外的特殊处理,笔者在开发的时候经常会忘了兼容IOS系统。所以就想试着重写Date函数,一劳永逸,避免每次ne_date.prototype 将所有 ios
文章浏览阅读5.3k次。方法一:用PLSQL Developer工具。 1 在PLSQL Developer的sql window里输入select * from test for update; 2 按F8执行 3 打开锁, 再按一下加号. 鼠标点到第一列的列头,使全列成选中状态,然后粘贴,最后commit提交即可。(前提..._excel导入pl/sql
文章浏览阅读83次。Git常用命令速查手册1、初始化仓库git init2、将文件添加到仓库git add 文件名 # 将工作区的某个文件添加到暂存区 git add -u # 添加所有被tracked文件中被修改或删除的文件信息到暂存区,不处理untracked的文件git add -A # 添加所有被tracked文件中被修改或删除的文件信息到暂存区,包括untracked的文件...
文章浏览阅读202次。分享119个ASP.NET源码总有一个是你想要的_千博二手车源码v2023 build 1120
文章浏览阅读1.8k次。版权声明:转载请注明出处 http://blog.csdn.net/irean_lau。目录(?)[+]1、缺省构造函数。2、缺省拷贝构造函数。3、 缺省析构函数。4、缺省赋值运算符。5、缺省取址运算符。6、 缺省取址运算符 const。[cpp] view plain copy_空类默认产生哪些类成员函数