wireshark 2.2.1漢化版pc版

wireshark 2.2.1 64位電腦版介紹

初學者可以通過學習相關的網(wǎng)絡協(xié)議知識，它能夠通過捕獲數(shù)據(jù)來進行過濾，不會受到其他數(shù)據(jù)的干擾，幫助用戶來節(jié)省時間。當傳輸文件比較大的時候，還能夠進行多個數(shù)據(jù)包的傳輸，提高整體的效率！

過濾規(guī)則

1.打開wireshark，先抓取一定數(shù)量的包，其中就包含你需要的數(shù)據(jù)包，要過濾出來，進行分析尋找問題

2.打開wireshark的幫助文檔，如下圖所示，是全英文的，不會的話就要去查和翻譯了

3.在彈出的幫助文檔頁面上，如下圖所示，找到wireshark的內容過濾的規(guī)則語法，所有的協(xié)議過濾都是如此，提供了基本的中括號運算符 “[]”進行內容的提取和判斷

4.如果基本的英文不了解，可以打開百度翻譯，一個一個單詞查詢翻譯了，其實也不需要全部弄明白，看到那些基本的語法，基本的意思也可以猜出來

使用教程

1.過濾源ip.目的ip。

在wireshark的過濾規(guī)則框Filter中輸入過濾條件。如查找目的地址為192.168.101.8的包，ip.dst==192.168.101.8；查找源地址為ip.src==1.1.1.1

2.端口過濾

如過濾80端口，在Filter中輸入，tcp.port==80，這條規(guī)則是把源端口和目的端口為80的都過濾出來。使用tcp.dstport==80只過濾目的端口為80的，tcp.srcport==80只過濾源端口為80的包

3.協(xié)議過濾

比較簡單，直接在Filter框中直接輸入?yún)f(xié)議名即可，如過濾HTTP的協(xié)議

4.http模式過濾

如過濾get包，http.request.method==&GET&,過濾post包，http.request.method==&POST&

5.連接符and的使用。

過濾兩種條件時，使用and連接，如過濾ip為192.168.101.8并且為http協(xié)議的，ip.src==192.168.101.8 and http。

基本設置

常用捕獲過濾器：

tcp[13]&32==32 (設置了URG位的TCP數(shù)據(jù)包)

tcp[13]&16==16 (設置了ACK位的TCP數(shù)據(jù)包)

tcp[13]&8==8 (設置了PSH位的TCP數(shù)據(jù)包)

tcp[13]&4==4 (設置了RST位的TCP數(shù)據(jù)包)

tcp[13]&2==2 (設置了SYN位的TCP數(shù)據(jù)包)

tcp[13]&1==1 (設置了FIN位的TCP數(shù)據(jù)包)

tcp[13]==18 (TCP SYN-ACK 數(shù)據(jù)包)

ether host 00:00:00:00:00:00 (流入或流出MAC地址的流量,替換為你的mac)

!ether host 00:00:00:00:00:00 (不流入或流出MAC地址的流量,替換為你的mac)

broadcast (僅廣播流量)

icmp (ICMP流量)

icmp[0:2]==0x0301 (ICMP目標不可達.主機不可達)

ip (僅IPv4流量)

ip6 (僅IPv6流量)

udp (僅UDP流量)

常用顯示過濾器：

！tcp.port==3389 (排除RDP流量)

tcp.flags.syn==1 (具有SYN標志位的TCP數(shù)據(jù)包)

tcp.flags.rst==1 (具有RST標志位的TCP數(shù)據(jù)包)

!arp (排除ARP流量)

http (所有HTTP流量)

tcp.port==23||tcp.port ==21 (FTP或telnet)

smtp||pop||imap (smtp.pop或imap)

常見問題

1.Wireshark可以使用哪些設備來捕獲數(shù)據(jù)包？

答：Wireshark可以讀取以太網(wǎng)，令牌環(huán)，F(xiàn)DDI，串行（PPP和SLIP）的實時數(shù)據(jù)（如果它運行的操作系統(tǒng)允許Wireshark這樣做），802.11無線局域網(wǎng)（如果它運行的操作系統(tǒng)允許Wireshark）要做到這一點），ATM連接（如果它運行的操作系統(tǒng)允許Wireshark這樣做），以及最近版本的libpcap在Linux上支持的“任何”設備。

2.我安裝了Wireshark RPM（或其他軟件包）; 為什么安裝TShark而不是Wireshark？

答： 許多發(fā)行版都有單獨的Wireshark軟件包，一個用于非GUI組件，如TShark，editcap，dumpcap等，另一個用于GUI。如果您的系統(tǒng)出現(xiàn)這種情況，可能會有一個名為的單獨軟件包wireshark-qt。找到并安裝它。

3.當我嘗試運行Wireshark時，為什么抱怨 sprint_realloc_objid未定義？

答： Wireshark只能與版本4.2.2或更高版本的UCD SNMP鏈接。你的Wireshark版本與這種版本的UCD SNMP動態(tài)鏈接; 但是，您安裝了較舊版本的UCD SNMP，這意味著當運行Wireshark時，它會嘗試鏈接到舊版本，并失敗。您必須使用4.2.2版或更高版本替換該版本的UCD SNMP。