1.1. 什么是Wireshark 1.1.1. 主要应用 网络管理员用来解决网络问题 网络安全工程师用来检测安全隐患 开发人员用来测试协议执行情况 用来学习网络协议 1.1.2. 特性 支持UNIX和Windows平台 在接口实时捕捉包 能详细显示包的详细协议信息 可以打开/保存捕捉的包 可以导入导出其他捕捉程序支持的包数据格式 可以通过多种方式过滤包 多种方式查找包 通过过滤以多种色彩显示包 创建多种统计分析 …还有许多 图 1.1. Wireshark捕捉包并允许您检视其内 1.1.3. 捕捉多种网络接口 http://wiki.wireshark.org/CaptureSetup/NetworkMedia. 1.1.4. 支持多种其它程序捕捉的文件 1.1.5. 支持多格式输出 1.1.6. 对多种协议解码提供支持 1.1.7. 开源软件 1.1.8. Wireshark 不能做的事 Wireshark不是***检测系统。如果他/她在您的网络做了一些他/她们不被允许的奇怪的事情，Wireshark不会警告您。但是如果发生了奇怪的事情，Wireshark可能对察看发生了什么会有所帮助。 [3] Wireshark不会处理网络事务，它仅仅是“测量”(监视)网络。Wireshark不会发送网络包或做其它交互性的事情（名称解析除外，但您也可以禁止解析）。 1.2. 系通需求 1.2.1. 一般说明 给出的值只是最小需求，在大多数网络中可以正常使用，但不排除某些情况下不能使用。 [4] 在繁忙的网络中捕捉包将很容塞满您的硬盘！举个简单的例子：在100MBIT/s全双工以太网中捕捉数据将会产生750MByties/min的数据！在此类网络中拥有高速的CPU，大量的内存和足够的磁盘空间是十分有必要的。 如果Wireshark运行时内存不足将会导致异常终止。可以在http://wiki.wireshark.org/KnownBugs/OutOfMemory 察看详细介绍以及解决办法。 Wireshark作为对处理器时间敏感任务，在多处理器/多线程系统环境工作不会比单独处理器有更快的速度，例如过滤包就是在一个处理器下线程运行，除了以下情况例外：在捕捉包时“实时更新包列表”，此时捕捉包将会运行在一个处理下，显示包将会运行在另一个处理器下。此时多处理或许会有所帮助。[5] 1.2.2. Microsoft Windows Windows 2000,XP Home版,XP Pro版,XP Tablet PC，XP Media Center, Server 2003 or Vista(推荐在XP下使用) 32-bit奔腾处理器或同等规格的处理器（建议频率：400MHz或更高）,64-bit处理器在WoW64仿真环境下-见一般说明 128MB系统内存（建议256Mbytes或更高） 75MB可用磁盘空间（如果想保存捕捉文件，需要更多空间） 800*600（建议1280*1024或更高）分辨率最少65536(16bit)色，(256色旧设备安装时需要选择”legacy GTK1”) 网卡需求： 基于以下三点原因，将不会对旧版Windows提供支持：没有任何开发人员正在使用那些操作系统， 这将使支持变得更加困难，Wireshark运行所依赖的库文件（如GTK，WinPCap等）也放弃对它们的支持。 同样，微软也放弃了对它们的技术支持。 Windows 95,98和ME不能运行Wireshark。已知的最后一个可以运行在以上平台的版本是Ethereal0.99.0(需要安装WinPCap3.1),你依然可以使用从: http://ethereal.com/download.html 获得。顺便提一下：微软于2006年1月11日停止对98/ME支持。 Windows NT 4.0今后将无法运行Wireshark.最有一个已知版本是Wireshark0.99.4(需安装自带的WinPCap3.1),你依然可以从：http://prdownloads.sourceforge.net/wireshark/wireshark-setup-0.99.4.exe 得到它。顺便提一下：微软于2005年12月31日停止对NT 4.0的支持。 Windows CE 及嵌入版windows（NT/XP）不被支持。 64-bit处理器运行Wireshark需要在32bit仿真环境下(称作WoW64),最低需要安装WinPCap4.0。 支持多显示(不知道是显示其还是监视器)安装，但会遇到一些不可预料的问题。 1.2.3. Unix/Linux APPle Mac OSX Debian GNU/Linux FreeBSD NetBSD OpenPKG Red Hat Fedora/Enterprise Linux rPath Linux Sun Solaris/i386 Sun Solaris/Sparc 1.3. 从哪里可以得到Wireshark http://www.wireshark.org/download.html. 网站上您可以选择适合您的镜像站点。1.4. Wiresahrk 简史[ 6 ] 1.5. Wireshark 开发维护 如果其他人发现您提供的改进十分有用会肯定它们的价值，您将会得知你曾像Wireshark team 一样帮助过他人 The developers of Wireshark might improve your changes even more, as there's always room for improvement. Or they may implement some advanced things on top of your code, which can be useful for yourself too. The maintainers and developers of Wireshark will maintain your code as well, fixing it when API changes or other changes are made, and generally keeping it in tune with what is happening with Wireshark. So if Wireshark is updated (which is done often), you can get a new Wireshark version from the website and your changes will already be included without any effort for you. http://www.wireshark.org/download.html. 1.6. 汇报问题和获得帮助 1.6.1. 网站 http://www.wireshark.org 你将会发现关于Wireshark许多有用的信息。1.6.2. 百科全书 http://wiki.wireshark.org )提供广泛的跟Wireshark以及捕捉包有关信息。你将会发现一些没有被包括在本书内信息，例如：wiki上有解释如何在交换网络捕捉包，同时我们正努力建立协议参考，等等。1.6.3. FAQ Read The FAQ 在您发送任何邮件到邮件列表之前，确信您已经阅读了FAQ，因为这里面很可能已经提供了您想问的问题，答案。这将大大节约您的时间（记住，有很多人提交了大量的邮件）。
1.6.4. 邮件列表 http://www.wireshark.org 订阅每个邮件列表.简单点击网站左手边的邮件列表链接就可以。邮件同样在网站上可以看到存档。提示 你可以搜索存档看看有没有人问过跟你一样的问题，或许您的问题已经有了答案。这样您就不必提交邮件以等待别人答复您了。
1.6.5. 报告问题 注意 在您提交任何问题之前，请确定您安装的是最新版本的Wireshark。
当您提交问题的时候，如果您提供如下信息将会对解决问题很有帮助。Wireshark的版本，及其依赖的库的版本，如GTK+，等等。你可以通过Wireshark –v 命令获得版本号。（估计是UNIX/Linux平台）。 运行Wireshark的平台信息。 关于问题的详细描述。 如果您得到错误或者警告信息，拷贝错误信息的文本（以及在此之前或之后的文本，如果有的话），这样其他人可能会发现发生问题的地方。请不要发送诸如：“I got a warning while doing x” [7]，因为这样看起来不是个好主意。 不要发送大文件 不要发送过大的文件（>100KB）到邮件列表，在邮件中附加一个能提供足够数据的记事本就可以。大文件会让很多邮件列表里的那些对您的问题不感兴趣的用户感到恼怒。如果需要，你可以单独发送那些数据给对您问题真正感兴趣，要求您发送数据的人。 不要发送机密信息！ 如果您发送捕捉数据到邮件列表，请确定它们不包含敏感或者机密信息，比如密码或者诸如此类的。
1.6.6. 在UNIX/Linux平台追踪软件错误 注意 在逐字输入第一行的字符！[8] 注意 追踪是一个GDB 命令。你可以在输完第一上以后输入它，但是会没有相应，^D命令（CTL+D）将会退出GDB 命令。以上命令让你在当前目录得到一个名为bt.txt的文本文件，它包含您的bug报告。
注意 如果您缺少GDB ，您必须检查您的操作系统的调试器。
你可以发送追踪邮件到wireshark-dev[AT]wireshark.org邮件列表1.6.7. 在Windows平台追踪软件错误 第 2 章 编译/安装Wireshark 2.1. 须知 获得一个适合您操作系统的二进制包，或者 获得源文件为您的操作系统编译。 下载需要的相关包，例如：源文件或者二进制发行版。 将源文件编译成二进制包(如果您下载的是源文件的话)。这样做做可以整合编译和/或安装其他需要的包。 安装二进制包到最终目标位置。 2.2. 获得源 http://www.wireshark.org. 同时获取源文件和二进制发行版。选择您需要下载的链接，然后选择源文件或二进制发行包所在的镜像站点（尽可能离你近一点的站点）。 下载所有需要的文件 ! 一般来说，除非您已经下载Wireshark,如果您想编译Wireshark源文件，您可能需要下载多个包。这些在后面章节会提到。 注意 当你发现在网站上有多个二进制发行版可用，您应该选择适合您平台的版本，他们同时通常会有多个版本紧跟在当前版本后面，那些通常时拥有那些平台的用户编译的。
基于以上原因，您可能想自己下载源文件自己编译，因为这样相对方便一点。2.3. 在UNIX下安装之前 www.gtk.org 获得。Libpcap , Wireshark用来捕捉包的工具 www.tcpdump.org 获得。例 2.1. 从源文件编译GTK+ gzip -dc gtk+-1.2.10.tar.gz | tar xvf -<much output removed>./configure<much output removed>make install<much output remove> 注意 您可能需要修改例 2.1 “从源文件编译GTK+”中提供的版本号成对应您下载的GTK+版本。如果GTK的目录发生变更，您同样需要修改它。，tar xvf 显示您需要修改的目录。 注意 如果您使用Linux,或者安装了GUNtar ，您可以使用tar zxvfgtk+-1.2.10.tar.gz 命令。同样也可能使用gunzip –c 或者gzcat 而不是许多UNIX中的gzip –dc
注意 如果您在windows中下载了gtk+ 或者其他文件。您的文件可能名称为：gtk+-1_2_8_tar.gz
如果在执行例 2.1 “从源文件编译GTK+”中的指令时有错误发生的话，你可以咨询GTK+网站。tcpdump ,您可以从tcpdump网站下载安装它。例 2.2. 编译、安装libpcap gzip -dc libpcap-0.9.4.tar.Z | tar xvf -<much output removed>cd libpcap-0.9.4./configure<much output removed>make<much output removed>make install<much output removed> 注意 Libpcap的目录需要根据您的版本进行修改。tar xvf 命令显示您解压缩的目录。
RedHat 6.x及其以上版本环境下（包括基于它的发行版，如Mandrake）,您可以直接运行RPM安装所有的包。大多数情况下的Linux需要安装GTK+和Glib.反过来说，你可能需要安装所有包的定制版。安装命令可以参考例 2.3 “在RedHat Linux 6.2或者基于该版本得发行版下安装需要的RPM包”。如果您还没有安装，您可能需要安装需要的RPMs。例 2.3. 在RedHat Linux 6.2或者基于该版本得发行版下安装需要的RPM包 cd /mnt/cdrom/RedHat/RPMSrpm -ivh glib-1.2.6-3.i386.rpmrpm -ivh glib-devel-1.2.6-3.i386.rpmrpm -ivh gtk+-1.2.6-7.i386.rpmrpm -ivh gtk+-devel-1.2.6-7.i386.rpmrpm -ivh libpcap-0.4-19.i386.rpm 注意 如果您使用RedHat 6.2之后的版本，需要的RMPs包可能已经变化。您需要使用正确的RMPs包。
在Debian下您可以使用apt-ge命令。apt-get 将会为您完成所有的操作。参见例 2.4 “在Deban下安装Deb”例 2.4. 在Deban下安装Deb apt-get install wireshark-dev2.4. 在UNIX下编译Wireshark 如果使用Linux则解压gzip'd tar 文件,如果您使用UNIX，则解压GUN tar 文件。对于Linux命令如下： tar zxvf wireshark-0.99.5-tar.gzgzip -d wireshark-0.99.5-tar.gztar xvf wireshark-0.99.5-tar 注意 使用管道命令行 gzip –dc Wireshark-0.99.5-tar.gz|tar xvf 同样可以[9] 注意 如果您在Windows下下载了Wireshark,你会发现文件名中的那些点变成了下划线。
将当前目录设置成源文件的目录。 配置您的源文件以编译成适合您的Unix的版本。命令如下： ./configuremakemake install2.5. 在UNIX下安装二进制包 2.5.1. 在Linux或类似环境下安装RPM包 rpm -ivh wireshark-0.99.5.i386.rpm2.5.2. 在Debian环境下安装Deb包 apt-get install Wireshark2.5.3. 在Gentoo Linux环境下安装Portage USE="adns gtk ipv6 portaudio snmp ssl kerberos threads selinux" emerge wireshark2.5.4. 在FreeBSD环境下安装包 pkg_add -r wireshark2.6. 解决UNIX下安装过程中的问题 [10] configure 那一步发生错误。你需要找出错误的原因，您可以检查日志文件config.log(在源文件目录下)，看看都发生了哪些错误。有价值的信息通常在最后几行。sed 命令（比如solaris下传输）。自从libtool脚本使用sed命令建立最终链接命令，常常会导致不可知的错误。您可以通过下载最新版本的sed解决该问题http://directory.fsf.org/GNU/sed.html. 2.7. 在Windows下编译源 http://wiki.wireshark.org/Development 来了解最新的开发方面的文档。2.8. 在Windows下安装Wireshark 2.8.1. 安装Wireshark http://www.wireshark.org/download.html#releases 下载Wireshark安装包并执行它即可。除了普通的安装之外，还有几个组件供挑选安装。 提示：尽量保持默认设置 如果您不了解设置的作用的话。
选择组件[11] Wireshark GTK1 -Wireshark 是一个GUI网络分析工具Wireshark GTK2 -Wireshark 是一个GUI网络分析工具（建议使用GTK2 GUI模组工具）GTK-Wimp -GTKWimp是诗歌GTK2窗口模拟(看起来感觉像原生windows32程序，推荐使用)TSshark -TShark 是一个命令行的网络分析工具Dissector Plugins -分析插件：带有扩展分析的插件Tree Statistics Plugins -树状统计插件：统计工具扩展Mate - Meta Analysis and Tracing Engine (experimental) :可配置的显示过滤引擎，参考http://wiki.wireshark.org/Mate. SNMP MIBs : SNMP，MIBS的详细分析。User ’s Guide -用户手册-本地安装的用户手册。如果不安装用户手册，帮助菜单的大部分按钮的结果可能就是访问internet.Editcap - Editcap is a program that reads a capture file and writes some or all of the packets into another capture file. /Editcap是一个读取捕捉文件的程序，还可以将一个捕捉文件力的部分或所有信息写入另一个捕捉文件。（文件合并or插入？）Text2Pcap - Text2pcap is a program that reads in an ASCII hex dump and writes the data into a libpcap-style capture file./Tex2pcap是一个读取ASCII hex，写入数据到libpcap个文件的程序。Mergecap - Mergecap is a program that combines multiple saved capture files into a single output file. / Mergecap是一个可以将多个播捉文件合并为一个的程序。Capinfos - Capinfos is a program that provides information on capture files. /Capinfos是一个显示捕捉文件信息的程序。“Additional Tasks”页 Start Menu Shortcuts -开始菜单快捷方式-增加一些快捷方式到开始菜单Desktop Icon -桌面图标-增加Wireshark图标到桌面Quick Launch Icon -快速启动图标-增加一个Wireshark图标到快速启动工具栏Associate file extensions to Wireshark -Wireshark文件关联-将捕捉包默认打开方式关联到WiresharkInstall WinPcap?”页 Currently installed WinPcap version -当前安装的WinPcap版本Install WinPcap x.x -如果当前安装的版本低于Wireshark自带的，该选项将会是默认值。Start WinPcap service "NPF" at startup -将WinPcap的服务NPF在启动时运行-这样其它非管理员用户就同样可以捕捉包了。安装命令选项 /NCRC 禁止CRC校检/S 静默模式安装或卸载Wireshark.注意：静默模式安装时不会安装WinPcap!/desktopicon 安装桌面图标，/desktopicon=yes表示安装图标，反之则不是，适合静默模式。/quicklaunchicon 将图标安装到快速启动工具栏，=yes-安装到工具栏，=no-不安装，不填按默认设置。/D 设置默认安装目录($INSTDIR),首选安装目录和安装目录注册表键值，该选项必须设置到最后。即使路径包含空格例 2.5. wireshark-setup-0.99.5.exe /NCRC /S /desktopicon=yes /quicklaunchicon=no /D=C:\Program Files\Foo2.8.2. 手动安装WinPcap 注意 事先声明，Wireshark安装时会谨慎对待WinPcap的安装，所以您通常不必担心WinPcap。
下面的WinPcap仅适合您需要尝试未包括在Wireshark内的不同版本WinPcap。例如一个新版本的WinPcap发布了，您需要安装它。2.8.3. 更新Wireshark 2.8.4. 更新WinPcap 警告 在安装新版WinPcap之前，如果您已经安装了旧版WinPcap,您必须先卸载它。最近版本的WinPcap安装时会自己卸载旧版。
2.8.5. 卸载Wireshark 2.8.6. 卸载WinPcap 注意 卸载WinPcap之后您将不能使用Wireshark捕捉包。
在卸载完成之后最好重新启动计算机。tar zxvf Wireshark-0.99.5-tar.gz;make;make install ）.直接安装则是根据各自平台安装的特点。第 3 章 用户界面 3.1. 须知 Wireshark的用户界面如何使用 如何捕捉包 如何查看包 如何过滤包 ……以及其他的一些工作。 3.2. 启动Wireshark 提示 开始Wireshark时您可以指定适当的参数。参见第 9.2 节 “从命令行启动Wireshark” 注意 在后面的章节中，将会出现大量的截图，因为Wireshark运行在多个平台 ，并且支持多个GUI Toolkit(GTK1.x/2x),您的屏幕上显示的界面可能与截图不尽吻合。但在功能上不会有实质性区别。尽管有这些区别，也不会导致理解上的困难。
3.3. 主窗口 图 3.1. 主窗口界面 菜单（见第 3.4 节 “主菜单”）用于开始操作。 主工具栏(见第 3.13 节 “"Main"工具栏”)提供快速访问菜单中经常用到的项目的功能。 Fiter toolbar/过滤工具栏(见第 3.14 节 “"Filter"工具栏”)提供处理当前显示过滤得方法。(见6.3:”浏览时进行过滤”) Packet List面板（见第 3.15 节 “"Pcaket List"面板”）显示打开文件的每个包的摘要。点击面板中的单独条目，包的其他情况将会显示在另外两个面板中。 Packet detail面板（见第 3.16 节 “"Packet Details"面板”）显示您在Packet list面板中选择的包德更多详情。 Packet bytes面板（见第 3.17 节 “"Packet Byte"面板”）显示您在Packet list面板选择的包的数据，以及在Packet details面板高亮显示的字段。 状态栏（见第 3.18 节 “状态栏”）显示当前程序状态以及捕捉数据的更多详情。 注意 主界面的三个面版以及各组成部分可以自定义组织方式。见第 9.5 节 “首选项”
3.3.1. 主窗口概述 表 3.1. 导航快捷键 快捷键 描述 Tab,Shift+Tab 在两个项目间移动，例如从一个包列表移动到下一个 Down 移动到下一个包或者下一个详情 Up 移动到上一个包或者上一个详情 Ctrl-Down,F8 移动到下一个包，即使焦点不在Packet list面版 Ctrl-UP,F7 移动到前一个报，即使焦点不在Packet list面版 Left 在Pactect Detail面版，关闭被选择的详情树状分支。如果以关闭，则返回到父分支。 Right 在Packet Detail面版，打开被选择的树状分支. Backspace Packet Detail面版，返回到被选择的节点的父节点 Return,Enter Packet Detail面版，固定被选择树项目。
另外，在主窗口键入任何字符都会填充到filter里面。3.4. 主菜单 图 3.2. 主菜单 提示 你可以直接点击访问菜单项，也可以使用热键，热键显示在菜单文字描述部分。例如：您可以使用CTR+K打开捕捉对话框。
3.5. "File" 菜单 图 3.3. File菜单 表 3.2. File菜单介绍 菜单项 快捷键 描述 Open... Ctr+O 显示打开文件对话框，让您載入捕捉文件用以浏览。见第 5.2.1 节 “打开捕捉文件对话框” Open Recent 弹出一个子菜单显示最近打开过的文件供选择。 Merg 显示合并捕捉文件的对话框。让您选择一个文件和当前打开的文件合并。见第 5.4 节 “合并捕捉文件” Close Ctrl+W 关闭当前捕捉文件，如果您未保存，系统将提示您是否保存（如果您预设了禁止提示保存，将不会提示） Save Crl+S 保存当前捕捉文件，如果您没有设置默认的保存文件名，Wireshark出现提示您保存文件的对话框。详情第 5.3.1 节 “"save Capture File As/保存文件为"对话框”注意 如果您已经保存文件，该选项会是灰色不可选的。 注意 您不能保存动态捕捉的文件。您必须结束捕捉以后才能进行保存
Save As Shift+Ctrl+S 让您将当前文件保存为另外一个文件面，将会出现一个另存为的对话框(参见第 5.3.1 节 “"save Capture File As/保存文件为"对话框”) File Set>List Files 允许您显示文件集合的列表。将会弹出一个对话框显示已打开文件的列表,参见第 5.5 节 “文件集合” File Set>Next File 如果当前載入文件是文件集合的一部分，将会跳转到下一个文件。如果不是，将会跳转到最后一个文件。这个文件选项将会是灰色。 File set>Previous Files 如果当前文件是文件集合 的一部分，将会调到它所在位置的前一个文件。如果不是则跳到文件集合的第一个文件，同时变成灰色。 Export> as “Plain Text” File… 这个菜单允许您将捕捉文件中所有的或者部分的包导出为plain ASCII text格式。它将会弹出一个Wireshark导出对话框,见第 5.6.1 节 “"Export as Plain Text File"对话框” Export >as "PostScript" Files 将捕捉文件的全部或部分导出为PostScrit文件。将会出现导出文件对话框。参见第 5.6.2 节 “"Export as PostScript File" 对话框” Export > as "CVS" (Comma Separated Values Packet Summary)File... 导出文件全部或部分摘要为.cvs格式（可用在电子表格中）。将会弹出导出对话框,见第 5.6.3 节 “"Export as CSV (Comma Separated Values) File" 对话框”。 Export > as “PSML” File… 导出文件的全部或部分为PSML格式（包摘要标记语言）XML文件。将会弹出导出文件对话框。见第 5.6.4 节 “"Export as PSML File" 对话框” Export as "PDML" File... 导出文件的全部或部分为PDML(包摘要标记语言)格式的XML文件。将会弹出一个导出文件对话框,见第 5.6.5 节 “"Export as PDML File" 对话框” Export > Selected Packet Bytes… 导出当前在Packet byte面版选择的字节为二进制文件。将会弹出一个导出对话框。见第 5.6.6 节 “"Export selected packet bytes" 对话框” Print Ctr+P 打印捕捉包的全部或部分，将会弹出打印对话框。见第 5.7 节 “打印包” Quit Ctrl+Q 退出Wireshark,如果未保存文件，Wireshark会提示是否保存。
3.6. "Edit" 菜单 图 3.4. "Edit"菜单 表 3.3. Edit菜单项 菜单项 快捷键 描述 Copy>As Filter Shift+Ctrl+C 使用详情面版选择的数据作为显示过滤。显示过滤将会拷贝到剪贴板。 Find Packet... Ctr+F 打开一个对话框用来通过限制来查找包，见??? Find Next Ctrl+N 在使用Find packet以后，使用该菜单会查找匹配规则的下一个包 Find Previous Ctr+B 查找匹配规则的前一个包。 Mark Packet(toggle) Ctrl+M 标记当前选择的包。见第 6.9 节 “标记包” Find Next Mark Shift+Ctrl+N 查找下一个被标记的包 Find Previous Mark Ctrl+Shift+B 查找前一个被标记的包 Mark ALL Packets 标记所有包 Unmark All Packet 取消所有标记 Set Time Reference(toggle) Ctrl+T 以当前包时间作为参考,见第 6.10.1 节 “包参考时间” Find Next Reference 找到下一个时间参考包 Find Previous Refrence... 找到前一个时间参考包 Preferences... Shift+Ctrl+P 打开首选项对话框，个性化设置Wireshark的各项参数，设置后的参数将会在每次打开时发挥作用。详见第 9.5 节 “首选项”
3.7. "View" 菜单 图 3.5. "View"菜单 表 3.4. "View"菜单项 菜单项 快捷键 描述 Main Toolbar 显示隐藏Main toolbar(主工具栏),见第 3.13 节 “"Main"工具栏” Filter Toolbar 显示或隐藏Filter Toolbar(过滤工具栏)见第 3.14 节 “"Filter"工具栏” Statusbar 显示或隐藏状态栏,见第 3.18 节 “状态栏” Packet List 显示或隐藏Packet List pane(包列表面板),见第 3.15 节 “"Pcaket List"面板” Packet Details 显示或隐藏Packet details pane(包详情面板).见第 3.16 节 “"Packet Details"面板” Packet Bytes 显示或隐藏 packet Bytes pane(包字节面板)，见第 3.17 节 “"Packet Byte"面板” Time Display Fromat>Date and Time of Day: 1970-01-01 01:02:03.123456 选择这里告诉Wireshark将时间戳设置为绝对日期-时间格式(年月日，时分秒)，见第 6.10 节 “时间显示格式及参考时间”注意 这里的字段"Time of Day","Date and Time of Day","Seconds Since Beginning of Capture","Seconds Since Previous Captured Packet"和"Seconds Since Previous Displayed Packet"几个选项是互斥的，换句话说，一次同时有一个被选中。
Time Display Format>Time of Day: 01:02:03.123456 将时间设置为绝对时间-日期格式(时分秒格式),见第 6.10 节 “时间显示格式及参考时间” Time Display Format > Seconds Since Beginning of Capture: 123.123456 将时间戳设置为秒格式，从捕捉开始计时，见第 6.10 节 “时间显示格式及参考时间” Time Display Format > Seconds Since Previous Captured Packet: 1.123456 将时间戳设置为秒格式，从上次捕捉开始计时，见第 6.10 节 “时间显示格式及参考时间” Time Display Format > Seconds Since Previous Displayed Packet: 1.123456 将时间戳设置为秒格式，从上次显示的包开始计时,见第 6.10 节 “时间显示格式及参考时间” Time Display Format > ------ Time Display Format > Automatic (File Format Precision) 根据指定的精度选择数据包中时间戳的显示方式，见第 6.10 节 “时间显示格式及参考时间”注意 "Automatic","Seconds"和"...seconds"是互斥的
Time Display Format > Seconds: 0 设置精度为1秒，见第 6.10 节 “时间显示格式及参考时间” Time Display Format > ...seconds: 0.... 设置精度为1秒，0.1秒，0.01秒，百万分之一秒等等。 见第 6.10 节 “时间显示格式及参考时间” Name Resolution > Resolve Name 仅对当前选定包进行解析第 7.6 节 “名称解析” Name Resolution > Enable for MAC Layer 是否解析Mac地址 Name Resolution > Enable for Network Layer 是否解析网络层地址(ip地址),见第 7.6 节 “名称解析” Name Resolution > Enable for Transport Layer 是否解析传输层地址第 7.6 节 “名称解析” Colorize Packet List 是否以彩色显示包 Auto Scrooll in Live Capture 控制在实时捕捉时是否自动滚屏，如果选择了该项，在有新数据进入时， 面板会项上滚动。您始终能看到最后的数据。反之，您无法看到满屏以后的数据，除非您手动滚屏 Zoom In Ctrl++ 增大字体 Zoom Out Ctrl+- 缩小字体 Normal Size Ctrl+= 恢复正常大小 Resiz All Columnus 恢复所有列宽 Expend Subtrees 展开子分支 Expand All 看开所有分支，该选项会展开您选择的包的所有分支。 Collapse All 收缩所有包的所有分支 Coloring Rulues... 打开一个对话框，让您可以通过过滤表达来用不同的颜色显示包。这项功能对定位特定类型的包非常有用。见第 9.3 节 “包色彩显示设置” Show Packet in New Window 在新窗口显示当前包，(新窗口仅包含View,Byte View两个面板) Reload Ctrl+R 重新再如当前捕捉文件
3.8. "Go" 菜单 图 3.6. "GO"菜单 表 3.5. "GO"菜单项 菜单项 快捷键 描述 Back Alt+Left 跳到最近浏览的包，类似于浏览器中的页面历史纪录 ForWard Alt+Right 跳到下一个最近浏览的包，跟浏览器类似 Go to Packet Ctrl+G 打开一个对话框，输入指定的包序号，然后跳转到对应的包，见第 6.8 节 “到指定的包” Go to Corresponding Packet 跳转到当前包的应答包，如果不存在，该选项为灰色 Previous Packet Ctrl+UP 移动到包列表中的前一个包，即使包列表面板不是当前焦点，也是可用的 Next Packet Ctrl+Down 移动到包列表中的后一个包，同上 First Packet 移动到列表中的第一个包 Last Packet 移动到列表中的最后一个包
3.9. "Capture" 菜单 图 3.7. "Capture"菜单 表 3.6. "Capture"菜单项 菜单项 快捷键 说明 Interface... 在弹出对话框选择您要进行捕捉的网络接口,见第 4.4 节 “捕捉接口对话框” Options... Ctrl+K 打开设置捕捉选项的对话框,(见第 4.5 节 “捕捉选项对话框”)并可以在此开始捕捉 Start 立即开始捕捉，设置都是参照最后一次设置。 Stop Ctrl+E 停止正在进行的捕捉，见第 4.9.1 节 “停止捕捉” Restart 正在进行捕捉时，停止捕捉，并按同样的设置重新开始捕捉.仅在您认为有必要时 Capture Filters... 打开对话框，编辑捕捉过滤设置，可以命名过滤器，保存为其他捕捉时使用见第 6.6 节 “定义，保存过滤器”
3.10. "Analyze" 菜单 图 3.8. "Analyze"菜单 表 3.7. "analyze"菜单项 菜单项 快捷键 说明 Display Filters... 打开过滤器对话框编辑过滤设置，可以命名过滤设置，保存为其他地方使用，见第 6.6 节 “定义，保存过滤器” Apply as Filter>... 更改当前过滤显示并立即应用。根据选择的项，当前显示字段会被替换成选择在Detail面板的协议字段 Prepare a Filter>... 更改当前显示过滤设置，当不会立即应用。同样根据当前选择项，过滤字符会被替换成Detail面板选择的协议字段 Firewall ACL Rules 为多种不同的防火墙创建命令行ACL规则(访问控制列表),支持Cisco IOS, Linux Netfilter (iptables), OpenBSD pf and Windows Firewall (via netsh). Rules for MAC addresses, IPv4 addresses, TCP and UDP ports, 以及 IPv4+混合端口 Enable Protocols... Shift+Ctrl+R 是否允许协议分析，见第 9.4.1 节 “"Enable Protocols"对话框” [a] 看样子他们有个关于这部分的章节
3.11. "Statistics" 菜单 图 3.9. "Statistics"菜单 表 3.8. 菜单项 快捷键 描述 Summary 显示捕捉数据摘要,见第 8.2 节 “摘要窗口” Protocol Hierarchy 显示协议统计分层信息，见第 8.3 节 “"Protocol Hierarchy"窗口” Conversations/ 显示会话列表(两个终端之间的通信),见??? EndPoints 显示端点列表(通信发起，结束地址),见第 8.4.2 节 “"Endpoints"窗口” IO Graphs 显示用户指定图表，(如包数量-时间表)见第 8.6 节 “"IO Graphs"窗口” Conversation List 通过一个组合窗口，显示会话列表,见第 8.5.3 节 “协议指定“Conversation List/会话列表”窗口” Endpoint List 通过一个组合窗口显示终端列表，见第 8.4.3 节 “特定协议的"Endpoint List"窗口” Service Response Time 显示一个请求及其相应之间的间隔时间，见第 8.7 节 “服务相应时间” ANSI 见第 8.8 节 “协议指定统计窗口” GSM 见第 8.8 节 “协议指定统计窗口” H.225... 见第 8.8 节 “协议指定统计窗口” ISUP Message 见第 8.8 节 “协议指定统计窗口” Types 见第 8.8 节 “协议指定统计窗口” MTP3 见第 8.8 节 “协议指定统计窗口” RTP 见第 8.8 节 “协议指定统计窗口” GSM 见第 8.8 节 “协议指定统计窗口” SIP 见第 8.8 节 “协议指定统计窗口” VOIP Calls... 见第 8.8 节 “协议指定统计窗口” WAP-WSP... 见第 8.8 节 “协议指定统计窗口” HTTP HTTP请求/相应统计，见第 8.8 节 “协议指定统计窗口” ISUP Messages 见第 8.8 节 “协议指定统计窗口” ONC-RPC Programs 见第 8.8 节 “协议指定统计窗口” TCP Stream Graph 见第 8.8 节 “协议指定统计窗口”
3.12. "Help" 菜单 图 3.10. 帮助菜单 表 3.9. 菜单项 快捷键 描述 Contents F1 打开一个基本的帮助系统 Supported Protocols 打开一个对话框显示支持的协议或工具 Manaul Pages>... 打开浏览器，显示安装在本地的手册 Wireshark Online> 按照选择显示在线资源 About Wireshark 弹出信息窗口显示Wireshark的一些相关信息，如插件，目录等。
注意 有些版本可能不支持调用WEB浏览器。如果是这样，可能会隐藏此菜单。 注意 如果调用浏览器错误，检查Wireshark首选项关于浏览器设置。
3.13. "Main" 工具栏 图 3.11. 表 3.10. 主工具栏选项 工具栏图标 工具栏项 对应菜单项 描述 接口 Capture/Interfaces... 打开接口列表对话框,见第 4.3 节 “开始捕捉” 选项。。。 Capture/Options 打开捕捉选项对话框，见第 4.4 节 “捕捉接口对话框” Start Capture/Start 使用最后一次的捕捉设置立即开始捕捉 STOP Capture/Stop 停止当前的捕捉，见第 4.3 节 “开始捕捉” Restar Caputer/Rstart 停止当前捕捉，并立即重新开始 Open... File/Open 启动打开文件对话框，用于载入文件，详见第 5.2.1 节 “打开捕捉文件对话框” Save As... File/Save As... 保存当前文件为任意其他的文件，它将会弹出一个对话框，(见第 5.3.1 节 “"save Capture File As/保存文件为"对话框”注意 如果当前文件是临时未保存文件，图标将会显示为
Close File/Close 关闭当前文件。如果未保存，将会提示是否保存 Reload View/Reload 重新载入当前文件 Print File/Print 打印捕捉文件的全部或部分，将会弹出一个打印对话框(见第 5.7 节 “打印包”) Find packet... Edit/Find Packet... 打开一个对话框，查找包。见第 6.7 节 “查找包” Go Back Go/Go Back 返回历史记录中的上一个 Go Forward Go/Go Forward 跳转到历史记录中的下一个包 Go to Packet... Go/Go to Packet... 弹出一个设置跳转到指定的包的对话框 Go To First Packet Go/First Packet 跳转到第一包 Go To Last Packet Go/Last Packet 跳转到最后一个包 Colorize View/Coloreze 切换是否以彩色方式显示包列表 Auto Scroll in Live View/Auto Scrool in Live Capture 开启/关闭实时捕捉时自动滚动包列表 Zoom in View/Zoom In 增大字体 zoom out View/Zoom Out 缩小字体 Normal Size View/Normal Size 设置缩放大小为100% Resize Columns View/Resize Columns 重置列宽，使内容适合列宽(使包列表内的文字可以完全显示) Capture Filters.. Capture/Capture Filters... 打开对话框，用于创建、编辑过滤器。详见第 6.6 节 “定义，保存过滤器” Display Filters.. Analyze/ Filters... 打开对话框，用于创建、编辑过滤器。详见第 6.6 节 “定义，保存过滤器” Coloring Rules... View/Coloring Rules... 定义以色彩方式显示数据包的规则详见第 9.3 节 “包色彩显示设置” Preferences... Edit/Preferences 打开首选项对话框，详见第 9.5 节 “首选项” Help Help/Contents 打开帮助对话框
3.14. "Filter" 工具栏 图 3.12. 过滤工具栏 表 3.11. 工具栏图标 工具栏项 说明 过滤 打开构建过滤器对话框,见第 6.7 节 “查找包”[a] 过滤输入框 在此区域输入或修改显示的过滤字符，见第 6.4 节 “建立显示过滤表达式”,在输入过程中会进行语法检查。如果您输入的格式不正确，或者未输入完成，则背景显示为红色。直到您输入合法的表达式，背景会变为绿色。你可以点击下拉列表选择您先前键入的过滤字符。列表会一直保留，即使您重新启动程序。注意 做完修改之后，记得点击右边的Apply(应用)按钮，或者回车，以使过滤生效。 注意 输入框的内容同时也是当前过滤器的内容（当前过滤器的内容会反映在输入框）
表达式... 标签为表达式的按钮打开一个对话框用以从协议字段列表中编辑过滤器，详见第 6.5 节 ““Filter Expression/过滤表达式”对话框” 清除 重置当前过滤器，清除输入框 应用 应用当前输入框的表达式为过滤器进行过滤 [a] 我看到的Filter按钮貌似没有图标，可能只出现在0.99.4版中
3.15. "Pcaket List" 面板 图 3.13. "Packet list/包列表"面板 No. 包的编号，编号不会发生改变，即使进行了过滤也同样如此Time 包的时间戳。包时间戳的格式可以自行设置，见第 6.10 节 “时间显示格式及参考时间”Source 显示包的源地址。Destination 显示包的目标地址。Protocal 显示包的协议类型的简写Info 包内容的附加信息3.16. "Packet Details" 面板 图 3.14. "Packet Details/包详情"面板 Generated fields/ 衍生字段 Wireshark会将自己生成附加协议字段加上括号。衍生字段是通过该包的相关的其他包结合生成的。例如：Wireshark 在对TCP流应答序列进行分析时。将会在TCP协议中添加[SEQ/ACK analysis]字段Links/ 链接 如果Wireshark检测到当前包与其它包的关系，将会产生一个到其它包的链接。链接字段显示为蓝色字体，并加有下划线。双击它会跳转到对应的包。3.17. "Packet Byte" 面板 图 3.15. Packet Byte/包字节面板 图 3.16. 带选项的"Paket Bytes/包字节"面板 3.18. 状态栏 图 3.17. 初始状态栏 图 3.18. 载入文件后的状态栏 P:捕捉包的数目 D:被显示的包的数目 M: 被标记的包的数目. 图 3.19. 已选择协议字段的状态栏 提示 括号内的值(如上图的app.opcode)可以作为显示过滤使用。它表示选择的协议字段。
第 4 章 实时捕捉数据包 4.1. 介绍 支持多种网络接口的捕捉(以太网，令牌环网，ATM...) 支持多种机制触发停止捕捉，例如：捕捉文件的大小，捕捉持续时间，捕捉到包的数量... 捕捉时同时显示包解码详情 设置过滤，减少捕捉到包的容量。见第 4.8 节 “捕捉时过滤” 长时间捕捉时，可以设置生成多个文件。对于特别长时间的捕捉，可以设置捕捉文件大小罚值，设置仅保留最后的N个文件等手段。见第 4.6 节 “捕捉文件格式、模式设置” 从多个网络接口同时实时捕捉，(但是您可以开始多个应用程序实体，捕捉后进行文件合并) 根据捕捉到的数据停止捕捉(或其他操作) 4.2. 准备工作 你必须拥有root/Administrator特权以开始捕捉[12] 必须选择正确的网络接口捕捉数据 如果您想捕捉某处的通信，你必须作出决定：在什么地方可以捕捉到 ……以及许多 4.3. 开始捕捉 使用打开捕捉接口对话框，浏览可用的本地网络接口，见图 4.1 “"Capture Interfaces"捕捉接口对话框”, 你也可以使用"捕捉选项"按钮启动对话框开始捕捉，见图 4.2 “"Capture Option/捕捉选项"对话框” 如果您前次捕捉时的设置和现在的要求一样，您可以点击"开始捕捉"按钮或者是菜单项立即开始本次捕捉。 如果你已经知道捕捉接口的名称，可以使用如下命令从命令行开始捕捉： 4.4. 捕捉接口对话框 警告 打开"Capture Interfaces"/捕捉对话框时 同时正在显示捕捉的数据，这将会大量消耗您的系统资源。尽快选择您需要的接口以结束该对话框。避免影响系统性能 注意 这个对话框只显示本地已知的网络接口，Wireshark可能无法检测到所有的本地接口，Wireshark不能检测远程可用的网络接口，Wireshark只能使用列出可用的网络接口
图 4.1. "Capture Interfaces"捕捉接口对话框 描述 IP Packets Packets/s Stop Capture Details( 仅Win32系统) Close 4.5. 捕捉选项对话框 图 4.2. "Capture Option/捕捉选项"对话框 4.5.1. 捕捉桢 Interface IP address Link-layer header type 未指定 该选项，Wireshark 将只能捕捉进出你电脑的数据包(不能捕捉整个局域网段的包)[13]如果你不确定，尽量保持默认值 如果你不需要包中的所有数据。例如：如果您仅需要链路层、IP和TCP包头，您可能想要选择一个较小的快照长度。这样只需要较少的cpu占用时间用于复制包，包需要的缓存也较少。如此在繁忙网络中捕捉时丢失的包也可能会相应少一点。 如果你没有捕捉包中的所有数据(适用snpaplen截断了包)，你可能会发现有时候你想要的包中的数据部分被截断丢弃了。或者因为缺少重要的部分，想对某些包进行重组而发现失败。 4.5.2. 捉数据帧为文件。 4.5.3. 停止捕捉桢 4.5.4. 显示桢选项 未选定 该选项，在Wireshark捕捉结束之前将不能显示数据。如果选中该选项，Wireshark将生成两个独立的进程，通过捕捉进程传输数据给显示进程。4.5.5. 名称解析设置 4.5.6. 按钮 start 按钮进行捕捉,也可以点击Cancel 退出捕捉.4.6. 捕捉文件格式、模式设置 提示 处理大文件(数百兆)将会变得非常慢。如果你计划进行长时间捕捉，或者处于一个高吞吐量的网络中，考虑使用前面提到的"Multiple files/多文件"选项。该选项可以将捕捉包分割为多个小文件。这样可能更适合上述环境。 注意 使用多文件可能会切断上下文关联信息。Wireshark保留载入包的上下文信息，所以它会报告上下文关联问题(例如流问题)和关联上下文协议信息(例如：何处数据产生建立阶段，必须查找后续包)。这些信息仅能在载入文件中显示，使用多文件模式可能会截断这样的上下文。如果建立连接阶段已经保存在一个文件中，你想要看的在另一个文件中，你可能无法看到可用的上下文关联信息。
表 4.1. 捕捉文件模式选项 "File" 选项 "Use multiple files" 选项 "Ring buffer with n files" 选项 Mode 最终文件命名方式 - - - Single temporary file etherXXXXXX (where XXXXXX 是一个独立值) foo.cap - - Single named file foo.cap foo.cap x - Multiple files,continuous foo_00001_20040205110102.cap, foo_00002_20040205110102.cap, ... foo.cap x x Multiple files,ring buffer foo_00001_20040205110102.cap, foo_00002_20040205110102.cap, ...
Single temporary file4.7. 链路层包头类型 4.8. 捕捉时过滤 http://www.tcpdump.org/tcpdump_man.html 可以看到tcpdump表达式选项介绍。and/or )进行进行基本单元连接，加上可选的，高有限级的not :primitive [and|or [not] primitive ...]例 4.1. 捕捉来自特定主机的telnet协议 例 4.2. 捕捉所有不是来自10.0.0.5的telnet 通信 host 作为网关的包。这就是指那些以太网源地址或目标地址是host ，但源ip地址和目标ip地址都不是host 的包src|dst 来确定你感兴趣的是源网络还是目标网络。如果两个都没指定。指定网络出现在源还是目标网络的都会被选择。另外，你可以选择子网掩码或者CIDR(无类别域形式)。src|dst 和tcp|udp 关键词来确定来自源还是目标，tcp 协议还是udp 协议。tcp|udp 必须出现在src|dst 之前。http://www.tcpdump.org/tcpdump_man.html 4.8.1. 自动过滤远程通信 4.9. 在捕捉过程中 图 4.3. 捕捉信息对话框 提示 这个对话框可以被隐藏，在前次的捕捉选项对话框设置"Hide capture info dialog box"即可。
4.9.1. 停止捕捉 注意 捕捉信息对话框有可能被隐藏，如果你选择了"Hide capture info dialog"
使用菜单项"Capture/ Stop" 使用工具栏项" Stop" 使用快捷键:Ctrl+E 如果设置了触发停止的条件，捕捉达到条件时会自动停止。 4.9.2. 重新启动捕捉 使用菜单项"Capture/ Restart" 使用工具栏项" Restart" 第 5 章 文件输入／输出及打印 5.1. 说明 打开／导入多种格式的捕捉文件 保存／导出多种格式的捕捉文件 合并捕捉文件 打印包 5.2. 打开捕捉文件 Open ”。Wireshark将会 弹出打开文件对话框。详见第 5.2.1 节 “打开捕捉文件对话框”如果使用拖放功能会更方便 要打开文件，只需要从文件管理器拖动你想要打开的文件到你的Wireshark主窗口。但拖放功能不是在所有平台都支持。
在你载入新文件时，如果你没有保存当前文件，Wireshark会提示你是否保存，以避免数据丢失。(你可以在首选项禁止提示保存)5.2.1. 打开捕捉文件对话框 对话框的显示方式取决于你的操作系统 对话框的显示方式取决于操作系统，以及GTK+工具集的版本。但不管怎么说，基本功能都是一样的。
常见对话框行为：选择文件和目录 点击Open/OK按钮，选择你需要的文件并打开它 点击Cancle按钮返回Wireshark主窗口而不载入任何文件。 如果选中文件，可以查看文件预览信息(例如文件大小，包个数。。。) 通过"filter:"按钮、显示字段指定显示过滤器。过滤器将会在打开文件后应用。在输入过滤字符时会进行语法检查。如果输入正确背景色为绿色，如果错误或输入未结束，背景色为绿色。点击filter按钮会打开过滤对话框，用于辅助输入显示过滤表达式。(详见第 6.3 节 “浏览时过滤包”) 通过点击复选框指定那些地址解析会被执行。详见第 7.6 节 “名称解析” 在大文件中节约大量时间 你可以在打开文件后修改显示过滤器，和名称解析设置。但在一些巨大的文件中进行这些操作将会占用大量的时间。在这种情况下建议在打开文件之前就进行相关过滤，解析设置。
表 5.1. 特定环境下的打开文件对话框 图 5.1. Windows下的打开对话框 Microsoft Windows(GTK2 installed) 如果可用，"help"按钮将会打开本节的用户手册。 "Filter."按钮 在当前版本的windows下不可用(我看了一下，的确不可用，但过滤输入框还是可用的) 错误提示功能:如果Wireshark无法识别选中的捕捉文件，Open按钮将为灰色不可用[a] 图 5.2. 新版GtK下的打开对话框 Unix/Linux:GTK version >= 2.4 “+”按钮可以将右侧选中的目录添加到收藏夹。成为预设目录。 "-"按钮可以移除左侧目录列表中选中的目录。("Home","Desktop","Filesystem"不可以移除) 如果Wireshark不能识别选中的捕捉文件，"Open"按钮将是灰色不可用。 图 5.3. 旧版GTK下的打开对话框 Unix/Linux: GTK version < 2.4 / Microsoft Windows (GTK1 installed) 5.2.2. 输入文件格式 libpcap, tcpdump and various other tools using tcpdump's capture format Sun snoop and atmsnoop Shomiti/Finisar Surveyor captures Novell LANalyzer captures Microsoft Network Monitor captures AIX's iptrace captures Cinco Networks NetXray captures Network Associates Windows-based Sniffer and Sniffer Pro captures Network General/Network Associates DOS-based Sniffer (compressed or uncompressed) captures AG Group/WildPackets EtherPeek/TokenPeek/AiroPeek/EtherHelp/PacketGrabber captures RADCOM's WAN/LAN Analyzer captures Network Instruments Observer version 9 captures Lucent/Ascend router debug output HP-UX's nettl Toshiba's ISDN routers dump output ISDN4BSD i4btrace utility traces from the EyeSDN USB S0 IPLog format from the Cisco Secure Intrusion Detection System pppd logs (pppdump format) the output from VMS's TCPIPtrace/TCPtrace/UCX$TRACE utilities the text output from the DBS Etherwatch VMS utility Visual Networks' Visual UpTime traffic capture the output from CoSine L2 debug the output from Accellent's 5Views LAN agents Endace Measurement Systems' ERF format captures Linux Bluez Bluetooth stack hcidump -w traces Catapult DCT2000 .out files 不正确的包类型可能无法会导致打开错误。 某些类型的捕捉包可能无法读取。以太网环境下捕捉的大部分类型格式一般都等打开。但有些包类型(如令牌环环包)，不是所有的格式都被wireshark支持。
5.3. 保存捕捉包 保存可能会丢失某些有用的信息 保存可能会少量都是某些信息。例如：已经被丢弃的包会丢失。详见???
5.3.1. "save Capture File As/ 保存文件为"对话框 对话框的显示方式取决于你的操作系统 对话框的显示方式取决于你的操作系统和GTK+工具集版本的不同。但大部分基本功能都是一样的。
表 5.2. 特定环境下的"Save Capture File As"对话框 图 5.4. Windows下的保存为对话框 Microsoft Windows(GTK2 installed) 如果可用，"help"按钮将会打开本节的用户手册。 如果你未输入文件扩展名-例如.pcap,Wireshark会自动添加该文件格式的标准扩展名。 图 5.5. 新版GtK下的保存为对话框 Unix/Linux:GTK version >= 2.4 "Browse for other flders"前的“+”按钮可以让你指定文件保存的位置。。 图 5.6. 旧版GTK下的保存为对话框 Unix/Linux: GTK version < 2.4 / Microsoft Windows (GTK1 installed) 输入你指定的文件名。 选择保存的目录 选择保存包的范围，见第 5.8 节 “包范围选项” 通过点击"File type/文件类型"下拉列表指定保存文件的格式。见??? 可供选中的文件格式可能会没有那么多 有些类型的捕捉格式可能不可用，这取决于捕捉包的类型。 可以直接保存为另一种格式。 你可以以一种格式读取捕捉文件，保存时使用另外一种格式(这句可能翻译有误。)
点击"Save/OK"按钮保存。如果保存时遇到问题，会出现错误提示。确认那个错误提示以后，你可以重试。 点击"Cancel"按钮退出而不保存捕捉包。 5.3.2. 输出格式 各文件类型之间的时间戳精度不尽相同 将当前文件保存为其他格式可能会降低时间戳的精度，见第 7.3 节 “时间戳”
Wireshark可以保存为如下格式。libpcap, tcpdump and various other tools using tcpdump's capture format (*.pcap,*.cap,*.dmp) Accellent 5Views (*.5vw) HP-UX's nettl (*.TRC0,*.TRC1) Microsoft Network Monitor - NetMon (*.cap) Network Associates Sniffer - DOS (*.cap,*.enc,*.trc,*fdc,*.syc) Network Associates Sniffer - Windows (*.cap) Network Instruments Observer version 9 (*.bfr) Novell LANalyzer (*.tr1) Sun snoop (*.snoop,*.cap) Visual Networks Visual UpTime traffic (*.*) 5.4. 合并捕捉文件 从"File"菜单使用，menu item "Merge"(菜单项 "合并") ，打开合并对话框，见第 5.4.1 节 “合并文件对话框” 使用拖放功能，将多个文件拖放到主窗口。Wireshark会创建一个临时文件尝试对拖放的文件按时间顺序进行合并。如果你只拖放一个文件，Wireshark可能(只是)简单地替换已经打开的文件。 使用mergecap 工具。该工具是在命令行进行文件合并的。它提供了合并文件的丰富的选项设置。见??? 5.4.1. 合并文件对话框 首先你会被提示有一个文件未保存 如果当前文件未保存，Wireshark会在启动合并对话框之前提示你是否保存文件。
此处的对话框的大多数内容与"Open Capture Files/打开捕捉文件"对话框类似，参见第 5.2.1 节 “打开捕捉文件对话框”表 5.3. 不同环境下的"Merge Capture File As"对话框 图 5.7. Windows下的"合并"对话框 Microsoft Windows(GTK2 installed) 图 5.8. 新版GtK下的合并话框 Unix/Linux:GTK version >= 2.4 图 5.9. 旧版GTK下的合并对话框 Unix/Linux: GTK version < 2.4 / Microsoft Windows (GTK1 installed) 5.5. 文件集合 Wireshark 是如何知道一个文件所属的文件集合t的? List Files 对话框显示一个对话框列出所有被识别出来属于当前文件集合的文件列表。Next Files 关闭当前文件，打开文件集合列表中的下一个文件。Previous Files 关闭当前文件，打开文件集合列表中的前一个文件。5.5.1. 文件列表对话框 图 5.10. 文件列表对话框 Filename 文件名称。如果你双击文件名称(或者单击单选钮)，当前文件会被关闭，同时载入对应的文件。Created 文件创建时间。Last Modified 最后一次修改文件的时间。size 文件的大小。5.6. 导出数据 注意 个别数据需要使用许多特殊方式导出，在合适的时候我们会对其进行介绍。
XXX - add detailed descriptions of the output formats and some sample output, too./同样需要对导出格式进行介绍，同样也需要一些范例范例5.6.1. "Export as Plain Text File" 对话框 图 5.11. "Export as Plain Text File"对话框 Export to file: 导出包数据为指定的文件Packet Range 参见第 5.8 节 “包范围选项”Packet Details 参见???5.6.2. "Export as PostScript File" 对话框 提示 PostScribt文件可以使用ghostscrip转换为PDF格式。例如导出文件名为foo.ps，然后调用ps2pdf foo.ps 命令就可以进行转换。
图 5.12. "Export as PostScript File" 对话框 Export to file: 导出包数据为指定的文件 Packet Range: 参见第 5.8 节 “包范围选项” Packet Details: 参见??? 5.6.3. "Export as CSV (Comma Separated Values) File" 对话框 注：笔者认为此处应该增加截屏，因为我的xp下界面与前图风格迥异，这里就不提供了 Export to file 导出包数据为指定的文件Packet Range 参见第 5.8 节 “包范围选项”5.6.4. "Export as PSML File" 对话框 http://www.nbee.org/Docs/NetPDL/PSML.htm. 图 5.13. "Export as PSML File"对话框 Export to file:导出包数据为指定的文件 Packet Range: 参见第 5.8 节 “包范围选项” 5.6.5. "Export as PDML File" 对话框 http://www.nbee.org/Docs/NetPDL/PDML.htm 注意 PDML格式还没有发行版，Wireshark执行PDML还处在测试阶段，期望外来版本会有所变化。
图 5.14. "Export as PDML File"对话框 Export to file :将包数据导出到Packet Range : 参见第 5.8 节 “包范围选项”5.6.6. "Export selected packet bytes" 对话框 图 5.15. "Export Selected Packet Bytes" 对话框 Name: 导出数据包为文件Save in folder: 导出数据包到指定目录Browser for other folders 通过浏览来指定导出数据的目录。5.6.7. "Export Objects" 对话框 图 5.16. "Export Objects"对话框 各列说明 按钮说明： 5.7. 打印包 5.7.1. 打印 对话框 图 5.17. "Print" 对话框 Output to file :复选框,你输入字段的地方或Browse。。按钮都是灰色。lpr .You would change it to specify a particular queue if you need to print to a queue other than the default.例如:Output to file ,该字段将是灰色不可用的。5.8. 包范围选项 图 5.18. "Packet Range"选项卡 Captured 按钮，所有被输出规则选中的包都会被导出，如果设置Displayed 按钮，则只有显示中的包被规则选中的才会导出。5.9. 包格式选项 图 5.19. "Packet Format"选项卡 第 6 章 处理已经捕捉的包 6.1. 浏览您捕捉的包 图 6.1. Wireshark选择了一个TCP包后的界面 图 6.2. 在分离窗口浏览包 6.2. 弹出菜单项 6.2.1. 包列表面板的弹出菜单 图 6.3. 包列表面板弹出菜单 表 6.1. 包列表弹出菜单项 项目 对应主菜单项 描述 Mark Packet(toggle) Edit 标记/取消标记包 Set Time Reference(toggle) Edit 设置/重设时间参考 ----- Apply as Filter Analyze 用当前选中的项作为过滤显示 Prepare a Filter Analyze 准备将当前选择项作为过滤器 Conversation Filter - 将当前选择项的地址信息作为过滤设置。选中该选项以后，会生成一个显示过滤，用于显示当前包两个地址之间的会话(不分源目标地址)。(XXX - add a new section describing this better.---作者似乎建议添加新章节详细描述) STCP - 有待补充 Follow TCP Stream Analyze 浏览两个节点间的一个完整TCP流所有数据 Follow SLL Stream Analyze 同上，将TCP替换成SSL理解 ----- Copy/Summary(TEXT) - 将摘要字段复制到剪贴板。(以tab分开的文本) Copy/Summary(CVS) - 将摘要字段复制到剪贴板，(CVS格式,逗号分开) Copy/As Filter - 以当前选择项，建立一个显示过滤器，复制到剪贴板 Copy/Bytes(Offset Hex Text) - 以16进制转储格式将包字节复制到剪贴板。 Copy/Bytes(Offset Text) - 以16进制转储格式将包字节复制到剪贴板。不包括文本部分。 Copy/ Bytes (Printable Text Only) - 以ASCII码格式将包字节复制到剪贴板，包括非打印字符。 Copy/ Bytes (HEX Stream) - 以16进制未分段列表数字方式将包字节复制到剪贴板，（an unpunctuated list of hex digits 应该有专有名词，有兴趣的查一下） Copy/ Bytes (Binary Stream) - 以raw binary格式将包字节复制到剪贴板。数据在剪贴板以"MIME-type application/octet-stream"存储，该功能在GTK+1.x环境下不支持 Export Selected Packet Bytes... File 与文件菜单同名项目功能一样。允许将Raw packet 字节转换为二进制文件它 --- Decode As... Analyze 在两个解析之间建立或修改新关联(不知所云) Print... File 打印包 Show Packet in New Window View 在新窗口显示选中的包
6.2.2. 包详情面板的弹出菜单 图 6.4. 包详情面板弹出上下文菜单项 表 6.2. 包详情面板弹出上下文菜档项 项目 对应的主菜单 描述 Expand Subtrees View 展开当前选择的子树 Expand All View 展开捕捉文件的所有包的所有子树 Collapse All View 关闭包中所有已展开的子树 ----- Copy/Description - 复制选择字段显示的文本到剪贴板 Copy/AS Filter Edit 将选择项目作为显示过滤内容复制到剪贴板 Copy/Bytes(Offset Hex Text) - 将包字节以Hexdump-like格式存储到剪贴板；类似于包列表面板中同名的命令，但是拷贝结果仅仅是树分支中被选中部分(包字节面板中被选中字节) Copy/Bytes(Offset Hex) - 以Hexdump-linke格式保存到剪贴，不包括文本部分。类似于包列表命令，不同之处在于此处仅拷贝树分支选中部分(包字节面板选中部分) COPY/Bytes (printable Text Only) - 以ASCII格式拷贝包字节，非打印字符除外；类似于包列表面板中同样的命令。不同点在于此处仅拷贝选择的树分支（包字符被选择部分） Copy/Bytes(Hex Stream) - j以unpunctuated list hex digits形式保存到剪贴板，类似于包列表面板中的命令，不同之处在于仅复制选中子树部分(包字节面板选中部分) Copy/Bytes(Binary Stream) - 以raw binary格式拷贝到剪贴板；类似于包列表面板中的命令，不同之处在于仅拷贝选中部分子树(包字节面板选中部分)。数据以MIME-type“Application/octet-stream”存储在剪贴板.该功能在GTK+1.x下不可用 Export Selected Packet Bytes... File 同文件菜单中的同名项一样。导出raw packet 字节为二进制文件。 --- Apply as Filter analyze 将当前选择项作为过滤内容，并应用 Preapare a Filter Analyze 将当前选择项作为过滤内容，但不立即应用 Follow TCP Stream Analyze 追踪两个节点见，被选择包所属TCP流的完整数据 Follow SSL Stream Analyze 同上 ----- Wiki Protocol Page - 显示当前选择协议的对应WIKI网站协议参考页 Filter Field Reference - 显示当前过滤器的WEB参考 Protocol Preferences... - 如果协议字段被选中，点击该选项，打开属性对话框，选择对应协议的页面，??? ----- Decode As... Analyze 更改或应用两个解析器之间的关联(什么鸟意思？) Resolve Name... View 对选择的包进行名称解析，不是指所有的包 Go to corresponding Packet ... Go 跳到当前选择包的相应包。
TNND,表格让人崩溃6.3. 浏览时过滤包 Filter 框里输入你刚兴趣的协议，然后回车开始过滤。???显示了你输入tcp进行过滤后的图。图 6.5. 用TCP协议过滤 注意 当你使用过滤时，所有的包依然保留在捕捉文件里。显示过滤只是更改捕捉文件的显示方式而非内容。
你只能对Wireshark可以识别的协议进行过滤。你也可以对解析器已经添加到树视图的字段进行过滤，但仅限于解析器已经为字段加上了协议缩写的。在Add Expression... 对话框可以看到可用的字段列表.详见第 6.5 节 ““Filter Expression/过滤表达式”对话框”ip.addr==192.168.0. 6.4. 建立显示过滤表达式 6.4.1. 显示过滤字段 6.4.2. 比较值 提示 你可以使用下表中的英语和比较符(c-link)项达到同样的效果，它们也可以混合使用。
表 6.3. 显示滤镜比较操作符 English C-linke 描述及范例 eq == Equal ne != Not equal gt > Greate than lt < Less than ge >= Greater than or equal to le <= Equal
6.4.3. 组合表达式 表 6.4. 显示过滤的逻辑操作符 English C-linke 描述和范例 and && Logical AND or || Logical OR xor ^^ Logical XOR not ! Logical Not [...] Substring Operator
6.4.4. 常见的错误 警告 在组合表达式中使用"!="操作符，像eth.addr,ip.addr,tcp.port,udp.port等元素可能会产生非预期效果
经常有人用ip.addr ==1.2.3.4 表达式来选择所有包含ip地址为1.2.3.4的包，ip.addr !=1.2.3.4 表达式来排除ip地址为1.2.3.4的包，很不幸。它不会像你期待的那样。ip.addr !=1.2.3.4 可以被读作："该包包含的ip字段值必须不为1.2.3.4"。因为一个ip数据报同含源地址和目标地址，只要两个地址有一个不为1,2,3,4表达式就为真。!(ip.addr==1.2.3.4) 。它可以读作:"显示所有'字段名为ip.addr值存在1.2.3.4' 为非真的包'",换句话说:"筛选所有字段名ip.addr的值中未出现1.2.3.4 的包"6.5. “Filter Expression/过滤表达式”对话框 提示 过滤表达式对话框是学习输入表达式的不错的工具。(不知道用不错是不是有点委屈)
图 6.6. 过滤表达式对话框 is present 是一元关系，表示如果你选择的字段存在，表达式就为真值。其它关系都为二元关系，需要附加数据(例如：一个值来匹配)来完成。field name 的属性值类型(例如 字符串).此处作者留空了 Cancle 按钮不做任何修改离开Add Expression。。。对话框。6.6. 定义，保存过滤器 Capture Filters... ；2、在Analyze菜单选择Display filter... 。Wireshark 将会弹出如图 6.7 “"捕捉过滤器"和"显示过滤器"对话框”所示话框。注意 因为捕捉和显示滤镜的设定义和保存方式几乎完全一样。所以这里放在一起讲，二者之间的不同点会做标记 警告 你必须用Save 来保存你的过滤器，OK 或者Apply 不会保存过滤器。关闭wireshark时会随之消失
图 6.7. "捕捉过滤器"和"显示过滤器"对话框 注意 过滤器名称仅用在此处为了区分方便而已，没有其他用处。你可以将多个过滤器使用同一个名称，但这样会很不方便
Filter string6.7. 查找包 Edit 菜单选择Find Packet... 菜单项.Wireshark将会弹出图 6.8 “"Find Packet/查找包"对话框”所示对话框.6.7.1. 查找包对话框 图 6.8. "Find Packet/查找包"对话框 6.7.2. "Find Next/ 查找下一个"命令 6.7.3. "Find Previous/ 查找上一个"命令 6.8. 到指定的包 6.8.1. "GO Back" 返回命令 6.8.2. "Go Forward / 向前"命令 6.8.3. "Go to Packet/ 到指定的包"对话框 图 6.9. "GO to packet/转到指定包"对话框 6.8.4. "Go to Corresponding Packet/ 到对应的包"命令 注意 该协议字段看起来有点像超链接(就像浏览器里的)，双击该字段也可以跳转到对应的包。
6.8.5. "Go to Firest Packet/ 到第一个包"命令 6.8.6. "Go to Last Packet/ 到最后一个包"命令 6.9. 标记包 警告 包标记并没有存储在捕捉文件中或任何其他地方，关闭文件后，所有标记将会丢失。
在保存/导出/打印包时，你可以使用包标记控制输出包。标记包以后，可以输出进行区间选择。见第 5.8 节 “包范围选项”Mark packet(toggle) 冻结以标记的单个包Mark all packets 标记所有包.Unmark all packets 取消所有标记6.10. 时间显示格式及参考时间 Date and Time of Day: 1970-01-01 01:02:03.123456 包捕捉的绝对日期和时间Time of Day: 01:02:03.123456 包捕捉的绝对时间Seconds Since Beginning of Capture: 123.123456 相对与文件开始捕捉的时间或第一个时间参考包的 到这个包之前的时间。(见第 6.10.1 节 “包参考时间”)Seconds Since Previous Captured Packet: 1.123456 相对前一个捕捉包的时间Seconds Since Previous Displayed Packet: 1.123456 相对前一个显示包的时间（过滤／显示）Automatic 使用载入文件格式具有的时间戳精度。(默认选项)Seconds, Deciseconds, Centiseconds, Milliseconds, Microseconds or Nanoseconds 强制使用你指定的精度。如果实际精度比你指定的低，会在后面自动追加0.如果实际精度比你指定的高。数据会被截尾。6.10.1. 包参考时间 警告 时间参考不能保存到包文件中，关闭文件后就会丢失。 注意 时间参考可能仅仅在时间格式为"Seconds Since Beginning of Capture"模式下比较有用。其他时间显示形式下可能要么是不能工作，要么是没作用。
要使用时间参考，选择Edit菜单下“Time Reference”项中的一个。详见第 3.6 节 “"Edit"菜单”,或者从包列表的右键弹出项选择。Set Time Refernce(toggle) 切换当前包时间参考状态开关Find Next 在包列表面板查找下一个时间参考包Find Previous 在包列表面板查找前一个时间参考包图 6.10. 时间参考举例 第 7 章 高级 7.1. 说明 7.2. "Follow TCP Stream" 注意 值得注意的是：Follow Tcp Stream会装入一个显示过滤来选择你已经选择的Tcp流的所有包。
7.2.1. "Follow TCP Stream" 对话框 图 7.1. "Follow TCP Stream"对话框 Save As 以当前选择格式保存流数据。Print 以当前选择格式打印流数据。Direction 选择流的显示方向("Entire conversation", "data from A to B only" or "data from B to A only").Filter out this stream 应用一个显示过滤，在显示中排除当前选择的TCP流。Close 关闭当前对话框。移除对当前显示过滤的影响。AsCII 。在此视图下你可以以ASCII凡是查看数据。当然最适合基于ASCII的协议用，例如HTTP.EBCDIC 。For the big-iron freaks out there.（不知道这句是什么意思， EBCDIC 是IBM公司的字符二进制编码标准。）HEX Dump . 允许你查看所有数据，可能会占用大量屏幕空间。适合显示二进制协议。C Arrays. 允许你将流数据导入你自己的C语言程序。RAW 。 允许你载入原始数据到其他应用程序做进一步分析。显示类似与ASCII设置。但“save As”将会保存为二进制文件。7.3. 时间戳 7.3.1. Wireshark 内置 7.3.2. 捕捉文件格式 注意 写入数据到一个实际支持精度比你写入数据精度低的格式文件中，可能会导致数据丢失。例如：如果你载入一个纳秒精度的捕捉文件，然后将其存储为libpcap文件(百万分之一秒精度)。Wireshark很明显会将时间精度调整为百万分之一秒。
7.3.3. 准确性 注意 通常USB连接的网络适配器提供的精度非常差。入口的实际上“占用很长的时间和走很曲折的路”才能穿过USB数据线到系统内核。而数据包只有被系统内核处理过以后才会打上时间戳，这种时间戳机制将会导致准确性大大降低。
7.4. 时区 完全不需要 考虑时区问题：你仅对两个包的时间戳的差别有兴趣，你并不需要了解捕捉包的实际的日期和时间(通常是这样)。 很可能你不会得到不同与你所在时区的包文件，所以你基本上碰不到时区问题。例如：你的团队的所有都和你工作在一个时区。 表 7.1. 什么是时区? http://en.wikipedia.org/wiki/time_zone 和http://en.wikipedia.org/wiki/Coordinated_Universal_Time 。表 7.2. http://en.wikipedia.org/wiki/Daylight_saving. 7.4.1. 正确设置你的计算机的时区 提示 如果你去各地旅行，通常可能会犯尝试调整计算机本地时间的错误。实际上并不需要这样做，仅仅调整时区就可以了。在计算机上，时间实际上没有发生变化，你只是在不同时区采用不同的本地时间而已。 提示 你可以使用网络时间协议(Network Time Protocol NTP)通过与互联网上的NTP授时服务器同步来自动调整你的计算机的时间。Wireshark支持的所有平台都可以使用NTP客户端，可参见http://www.ntp.org/ 的介绍。
7.4.2. Wireshark 和时区的关系 表 7.3. 各时区UTC到达时间 Los Angeles New York Madrid London Berlin Tokyo Capture File(UTC) 10:00 10:00 10:00 10:00 10:00 10:00 Local Offset to UTC -8 -5 -1 0 +1 +9 Displayed Time(local Time) 02:00 05:00 09:00 10:00 11:00 19:00
举例：假定有人在洛杉矶本地时间临晨2:00点整捕捉了一个包，然后发送给你包含那个包的文件。那个包在包文件中的时间戳将是UTC时间10:00.你在柏林打开后会看到那个包显示的时间是11:00点。7.5. 合并包 7.5.1. 什么是合并包 提示 在Wireshark里面，这个机制/方法被称为合并/reasembling ，在特定协议的描述可能不尽相同(例如：desegmentation, defragmentation, ...)
7.5.2. 如何用Wireshark合并包 图 7.2. 带有合并包附加选项卡"Packet Bytes面板" 注意 合并可能发生在多个协议层，所以在"Packet Bytes"面板可能会见到多个附加页选项卡 注意 你会在数据块的最后一个包看到合并后的数据。
以HTTP Get应答为例：请求数据(例如一个HTML页面)返回时。Wireshark会显示一个16进制转储数据在"Packet Bytes"面板的一个名为"Uncompressed entity body"新选项卡。下层的协议(如：TCP)必须支持合并。通常协议支持合并与否都是通过协议的参数设置的。 高层协议协议(如:HTTP)必须使用合并机制来合并分片的数据。这些也同样可以通过协议参数来允许或禁止。 7.6. 名称解析 7.6.1. 名字解析的流弊 名字解析经常会不可用 。服务器可能不知道需要被解析的名字，或者服务器不可用。又或者需要解析的名字在赋值配置文件中找不到。名字解析并没有存储在捕捉文件或其他什么地方 。因此你以后打开捕捉文件或者在其他设备上打开文件有可能发现名字解析不可用。每次打开捕捉文件可能会发现部分地址略微发生变化，也许仅仅是因为无法连接到名字解析服务器(之前还是可以连接的)DNS 可能会增加额外的包到Wireshark中 。你会在包文件中看到由Wireshark请求DNS服务生成的包进出你的机器。解析名称被Wireshark缓存 。这对设备性能有一定需求。但是，如果名字解析信息在wireshark运行时发生变化，wireshark不会注意到这个变化，因为它是从缓存进行解析的。如果这些信息在Wireshark运行时变化了，例如获取一个新DHCP租约，Wireshark不会注意到。(这些是针对DNS还是所有信息？有多少机器使用动态dns注册？)提示 名字解析在包列表填入时已经完成。如果一个包填入包列表以后被解析，包列表的内容不会立即更改，相反解析结果会被缓存，你可以使用"View/Reload"重建包列表，来正确显示名字解析结果。但在捕捉过程中这样做没有效果。
7.6.2. 以太网名字解析(mac层) ARP 名字解析(系统服务) Wireshark会向操作系统发出请求，将以太网地址转换为对应的IP地址(e.g. 00:09:5b:01:02:03->192.168.0.1)Ethernet codes(ethers file) 如果ARP解析错误，Wireshark会尝试将以太网地址解析为已知设备名。这种解析需要用户指定一个ethers文件为mac地址分配名称。(e.g. 00:09:5b:01:02:03 -> homerouter).Ethernet manufacturer codes (manuf file) 如果ARP解析和ethers文件都无法成功解析，Wireshark会尝试转换mac地址的前三个字节为厂商名的缩写。mac地址的前三个字节是IEEE为各厂商分配的独立地址(通过前三个字节可以得出每个网络设备的供应商，当然这些也是可以被篡改的。，)(e.g. 00:09:5b:01:02:03 -> Netgear_01:02:03).7.6.3. IP 地址解析(网络层) DNS/ADNS name resolution(system/library service) Wireshark会向操作系统（或ADSN library 地址-名称解析词典?）请求，将IP地址转换为相关联的主机名(e.g. 216.239.37.99 -> www.1.google.com ).此时DNS服务正在同步请求DNS服务器，所以Wireshark会停止相应直到DNS请求的响应返回。如果可能的话，你可以考虑使用ADNS library(这样可以避免等待网络相应。)警告 如果名称解析服务器不可用，允许网络名称解析使Wireshark明显变慢，因为wireshark会等待名字解析结果直到超时。在这种情况你应该使用ADNS。
DNS vs. ADNS 这里是一个简短的对比：两个都是用来转换ip地址为其他易读的地址"Human readable"(域名)。通常DNS用gethostname()将地址转换为名称。通常首先是查询hosts文件(e.g. /etc/hosts,/windows/system32/drivers/etc/hosts)看能否找到匹配实体。如果找不到，会向指定的DNS服务器查询。hosts name resolution(hosts file) 如果dns解析不成功，Wireshark会尝试使用用户提供的主机文件将IP地址转换为对应的主机名。(e.g. 216.239.37.99 -> www.google.com )7.6.4. IPX 名称解析(网络层) ipxnet name resolution (ipxnets file) ( 笔者未作解释) 7.6.5. TCP/UDP 端口名解析(传输层) TCP/UDP port conversion (system service) Wireshark会向操作系统发出请求，转换TCP/UDP端口为已知名称(e.g. 80->http)。7.7. 校检和 提示 应用校检和在这里也被成为redundancy check (冗余校检？)
校检和是做什么的？ http://en.wikipedia.org/wiki/Checksum 7.7.1. Wireshark 校检和验证 7.7.2. Checksum offloading 注意 checksum offloading经常会导致混乱，因为网络包在检验和计算之前转交给Wireshark。Wireshark得到包的检验和字段是空的，必然会显示检验和错误，尽管这个包在从网络硬件发出的时候是带有校验和的。
Checksum offloading会引起混淆，让你屏幕上看到大量的[invalid]信息，引起你的反感。前面提到过，错误的检验和会导致包无法合并，更难进行包数据分析。在驱动程序上关闭checksum offloading选项，如果可用的话。[19] 通过首选项关闭Wireshark上特定协议的校验和验证。 第 8 章 统计 8.1. 说明 一般统计Summary ： 捕捉文件摘要Protocal Hierarchy: 捕捉包的层次结构Endpoints 例如：通讯发起，终止方的ip地址Conversations 例如：两个指定IP之间的通信IO Graphs 包数目随时间变化的曲线图。 指定协议统计Service Response Time 从发起请求到相应请求的服务间隔时间。Various other 协议特有的统计 注意 协议特定的统计，需要有特定协议的细节了解。除非你对那个协议非常熟悉，统计结果不是那么那么容易理解的。
8.2. 摘要窗口 图 8.1. "Summary" 窗口 Captured 列显示过滤前的信息，Displayed 列显示过滤后对应的信息。8.3. "Protocol Hierarchy" 窗口 图 8.2. "Protocol Hierarchy" 窗口 注意 包通常会包含许多协议，有很多协议会在每个包中被统计。例如：截屏中包括99.17%的IP，85.83%的TCP协议(它们的和超过了100%) 注意 包的协议组成部分可以不包含高层协议，高层协议包统计百分比和可能并不等于100%，例如:截屏中TCP占85.83%，但是上层协议(HTTP...)却比85%更少。这可能是因为TCP协议，例如：TCP ACK 包不会被统计到高层协议。
注意 一个单独的包可以包含相同的协议不止一次，这种情况下，协议会被计数超过一次。例如某些通道配置的协议，IP层会出现两次。(通道封装的内容包括ip层，传输时将封装过在用IP封装一次)
8.4. "Endpoints" 提示 如果在其他网络工具工具中看到被称为Hostlist/主机列表 的东西，在这里就是Endpoint了。
8.4.1. 什么是Endpoint? Broadcast / multicast endpoints （广播/多播端点） 广播/多播通信会用额外的端点单独显示。当然，这些端点都是虚拟端点，真实的通信会被所有(多播的一部分)列出的单播端点接收。
8.4.2. "Endpoints" 窗口 图 8.3. "Endpoints"窗口 Name resolution 如果选中该选项，将会对指定的协议层进行名字解析(当前选中的Ethernet endpoint 页面是MAC层)。你可能注意到，第一行将前三个字节解析为"Netgear",第二行地址被解析为IP地址(通过arp协议解析)，第三行解析为广播地址(未解析时mac地址为:ff:ff:ff:ff:ff:ff)，最后两行的MAC地址未被解析。提示 该窗口可能会频繁那更新内容，在你进行实时捕捉之前打开了它(或者在这期间打开了它)，也依然有用。
8.4.3. 特定协议的"Endpoint List"窗口 8.5. 会话/conversations 8.5.1. 什么是会话/conversation? 8.5.2. "Conversations/ 会话" window 图 8.4. "Conversations"对话框 8.5.3. 协议指定“Conversation List/会话列表”窗口 8.6. "IO Graphs" 窗口 图 8.5. "IO Graphs" 窗口 Graph 1-5: 开启1-5图表(默认仅开启graph 1)Color: 图表的颜色(不可修改)Filter: 指定显示过滤器(only the packets that pass this filter will be taken into account for that graph)Style: 图表样式(Line/Impulse/FBar)Tick interval 设置X轴的每格代表的时间(10/1/0.1/0.01/0.001 seconds))Pixels per tick 设置X轴每格占用像素 10/5/2/1 pxUnit y 轴的单位(Packets/Tick, Bytes/Tick, Bits/Tick, Advanced...)Ssale Y 轴单位的刻度(10,20,50,100,200,500,...)8.7. 服务相应时间 DCE-RPC Fibre Channel H.225 RAS LDAP MGCP ONC-RPC SMB 注意 其他服务相应时间在Windows平台下都是相同的处理方法(或者仅仅轻微不同)
8.7.1. "Service Response Time DCE-RPC" 窗口 图 8.6. "Compute DCE-RPC statistics"窗口 图 8.7. The "DCE-RPC Statistic for ..." 窗口 8.8. 协议指定统计窗口 http://wiki.wireshark.org/Statistics pages.第 9 章 个性化Wireshark 写在前面 9.1. 说明 如何从命令启动Wireshark 如何将包列表色值化(以颜色区分不同的包) 如何控制包解析 如何使用多种多样的首选项设置 9.2. 从命令行启动Wireshark Wireshark -h 就会显示帮助信息（以及其他相关的）。详细参数列表见例 9.1 “Wireshark帮助信息”例 9.1. Wireshark帮助信息 gerald@wireshark.org > and contributors.Wireshark 命令会启动Wireshark。不管怎样，你可以在启动时追加许多参数(如果你喜欢)。他们的作用如下(按字母顺序)：ifconfig -a 命令的UNIX平台)这个命令很有用;接口编号在Windows 2000及后续平台的接口名称通常是一些复杂字符串，这时使用接口编号会更方便点。Wireshark -D 中的一个；也可以使用Wireshark -D 显示的编号，如果你使用UNIX,netstat -i 或者ifconfig -a 获得的接口名也可以被使用。但不是所有的UNIX平台都支持-a ,ifconfig 参数。-k 选项指定Wireshark立即开始捕捉。这个选项需要和-i参数配合使用来指定捕捉产生在哪个接口的包。-o <preference settings> 可以使用在单独命中中。r 相对的，设置所有包时间戳显示为相对于第一个包的时间。a absolute,设置所有包显示为绝对时间。ad 绝对日期，设置所有包显示为绝对日期时间。d delta 设置时间戳显示为相对于前一个包的时间e epoch 设置时间戳显示为从epoch起的妙数(1970年1月1日 00:00:00起)lua _script:lua_script_filename,它告诉Wireshark载入指定的脚本。默认脚本是Lua scripts.9.3. 包色彩显示设置 图 9.1. "Coloring Rules"对话框 注意 在对色彩规则进行排序（然后运用时）需要注意：他们是按自上而下的顺序应用的。因此，特定的协议应该排在一般的协议的前面(高层协议应该排在底层协议之前)。例如：如果你将UDP协议排在DNS之前，那么DNS颜色规则就不会被应用(因为DNS使用UDP协议，UDP色彩规则首先被匹配。译者注：这里有点像netscreen防火墙规则，从上而下匹配，匹配了第一个规则以后就不会询问后续规则了。)
如果你第一次使用色彩规则，点击“NEW”按钮打开色彩过滤编辑对话框，如???所示：图 9.2. "Edit Color Filter" Foreground color... /前景色或者Background color... /背景色按钮就会弹出Choose foreground/background color for protocol 对话框(见图 9.3 “"Choose color"对话框”)，进行前景色、背景色设置了。图 9.3. "Choose color"对话框 注意 You must select a color in the colorbar next to the colorwheel to load values into the RGB values. Alternatively, you can set the values to select the color you want.
图 9.4 “在Wireshark中使用色彩过滤”显示了默认情况下使用多个色彩过滤器的例子。如果你不太喜欢的话，可以自己随时修改它。图 9.4. 在Wireshark中使用色彩过滤 9.4. 设置协议解码 9.4.1. "Enable Protocols" 对话框 注意 禁止某个协议解码会阻止依附该协议的更高层协议显示。例如，假定你禁止了IP协议，选择某个包含Ethernet,IP,TCP和HTTP信息的包。将只会显示以太网信息，IP协议不会显示，基于IP协议的TCP,HTTP协议信息也不会显示。
图 9.5. "Enabled Protocols"对话框 警告 必须通过Save按钮保存设置，OK，Apply按钮不会保存设置，关闭Wireshark以后就会丢失设置。
按钮功能介绍Enable All 允许列表中所有协议Disable All 禁止列表中所有协议Invert 切换列表中所有协议的enable/disable状态OK 应用当前修改，关闭对话框Apply 应用修改，不关闭对话框Save 保存当前设置Cancel 取消修改，退出对话框9.4.2. 用户指定解码器 图 9.6. "Decode As" 对话框 警告 用户指定解码器不能保存。退出Wireshark以后，这些设置会丢失
Decode 使用选择的方式解码。Do not decode 不要用选定方式解码。Link/Network/Transport 指定使用那个解码器对各网络层进行解码。三个页面中哪个页面可用取决于被选择包的内容。Show Current 打开一个对话框显示当前用户已经 指定的解码器列表。OK 应用当前选定的解码器，关闭对话框。Apply 应用当前选定的解码器，保持对话框打开Cancel 取消修改，关闭对话框。9.4.3. 显示用户指定解码器 图 9.7. "Decode As: Show" 对话框 9.5. 首选项 OK 应用参数设置，关闭对话框 Apply 应用参数设置，不关闭对话框 Save 应用参数设置，保存参数设置到硬盘，并且保持对话框打开 Cancel 重置所有参数设置到最后一次保存状态。 图 9.8. preferences对话框 9.6. 用户表表[ 21 ] 9.7. 创建过滤宏 ( (ip.src == $1and ip.dst == $2 and tcp.srcpt == $3 and tcp.dstpt == $4) or (ip.src == $2and ip.dst == $1 and tcp.srcpt == $4 and tcp.dstpt == $3) ) ，以后你就可以使用${tcp_conv:10.1.1.2;10.1.1.3;1200;1400} 替代整个过滤字符串。过滤宏的使用说明（译者注） 定义宏的名称，如范例中的tcp_conv 定义宏的文本部分，显示过滤宏内容其实和显示过滤器结构上没有本质区别，只是将具体的值换成了参数。，比如例题中第一部分是ip.src == $1and ip.dst == $2 and tcp.srcpt == $3 and tcp.dstpt == $4 ,这里的$1,$2,$3,$4，如果在显示过滤器中，应该是具体的ip地址和端口号，在这里使用了$1,$2,$3,$4,是作为参数。就像定义函数的参数一样，供调用宏时传递参数用的。 如何使用宏：如例中所示，需要在显示过滤框输入或在过滤表达式编辑器中应用宏，输入宏的格式是${宏名称:参数1;参数2;参数3;....}，参数就是定义宏时的参数的传入值，如例中的${tcp_conv:10.1.1.2;10.1.1.3;1200;1400} ,tcp_conv是宏名称，10.1.1.2是$1的取值，其他类推。 9.8. Tektronics K12xx/15 RF5 协议表 9.9. 用户 DLTs 协议表 9.10. SNMP 用户表 
网络安全
发布于：2021-07-23 12:01
|
阅读数：580
|
评论：0
QQ好友和群
QQ空间
