Wireshark教程之二：Wireshark捕获数据分析

使用 Wireshark 选择需要抓包的网络方式，并设置过滤器条件，当有数据通信后即可抓到对应的数据包，这里将分析其每一帧数据包的结构。

以HTTP协议为例，一帧数据包一般包括以下几个部分：

• Frame：物理层的数据帧情况。
• Ethernet II ：数据链路层以太网帧头部信息。
• Internet Protocol Version 4：以太网协议层。
• Transmission Control Protocol：传输控制协议。
• HyperText Transfer Protocol：超文本传输协议。

对于各种协议而言，前三层基本一样，第四层开始就可以出现TCP, UDP 协议，第五层就有HTTP 应用层协议等。

第一层：Frame:（物理层）

 // 第8056帧，有507个字节在线，共4056位，实际在接口0上捕获到507个字节
 Frame :  bytes on wire ( bits),  bytes captured ( bits) on interface
     // 接口ID：0
     Interface id:  (\Device\NPF_{7920DB7B-B8DB-417F-8C85-72E6DCCD61C5})
     // 封装类型
     Encapsulation type: Ethernet ()
     // 到达时间
     Arrival Time: Aug  ,  ::00.750794000 中国标准时间
     // 包偏移量
     [Time shift for this packet: 0.000000000 seconds]
     // 新纪元时间
     Epoch Time: 1565250300.750794000 seconds
     // 两帧之间的时间间隔
     [Time delta from previous captured frame: 0.000326000 seconds]
     // 捕获到显示的时间间隔
     [Time delta from previous displayed frame: 0.126423000 seconds]
     // 此帧与第一帧的时间间隔
     [Time since reference or first frame: 197.144051000 seconds]
     // 帧号
     Frame Number:
     // 帧长度
     Frame Length:  bytes ( bits)
     // 捕获的帧长度
     Capture Length:  bytes ( bits)
     // 帧是否标记
     [Frame is marked: False]
     // 帧是否忽略
     [Frame is ignored: False]
     // 帧内封装的协议层次结构
     [Protocols in frame: eth:ethertype:ip:tcp:http]
     // 着色标记的协议
     [Coloring Rule Name: HTTP]
     // 着色规则显示的字符串
     [Coloring Rule String: http || tcp.port ==  || http2]

第二层：Ethernet II （数据链路层以太网帧头部信息）

 // 源MAC地址：TexasIns_ce:a9:4b (68:c9:0b:ce:a9:4b)
 // 目标MAC地址：AplexTec_0d:4e (40:d8:55:16:ad:4e)
 Ethernet II, Src: AsustekC_4d:bc:f2 (:8b:cd:4d:bc:f2), Dst: Hangzhou_91:be:b8 (d4::fe::be:b8)
     // 目标MAC地址
     Destination: Hangzhou_91:be:b8 (d4::fe::be:b8)
     // 源MAC地址
     Source: AsustekC_4d:bc:f2 (:8b:cd:4d:bc:f2)
     // IP类型
     Type: IPv4 (0x0800)

第三层：Internet Protocol Version 4（以太网协议层）

 // IPv4 协议，源IP：192.168.1.50， 目的IP：111.202.102.36
 Internet Protocol Version , Src: 192.168.1.50, Dst: 111.202.102.36
     // 版本4
      .... = Version:
     // 头长度20字节
     ....  = Header Length:  bytes ()
     // 差分服务字段
     Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)
     // 总长度
     Total Length:
     // 鉴别
     Identification: 0x90c2 ()
     // 标志
     Flags: 0x4000, Don't fragment
     // 生存期
     Time to live:
     // 协议名称
     Protocol: TCP ()
     // 头部校验和
     Header checksum: 0x0000 [validation disabled]
     // 头部校验和检测状态
     [Header checksum status: Unverified]
     // 源IP
     Source: 192.168.1.50
     // 目标IP
     Destination: 111.202.102.36

第四层：Transmission Control Protocol（传输控制协议）

 // 传输控制协议，源端口：4434，目标端口：80，序号1，确认号：1，长度：453
 Transmission Control Protocol, Src Port: , Dst Port: , Seq: , Ack: , Len:
     // 源端口：4434
     Source Port:
     // 目标端口：80
     Destination Port:
     // 流索引
     [Stream index: ]
     // TCP段长度
     [TCP Segment Len: ]
     // 序号
     Sequence number:     (relative sequence number)
     // 下一个序号
     [Next sequence number:     (relative sequence number)]
     // 确认号
     Acknowledgment number:     (relative ack number)
     // 头部长度
      .... = Header Length:  bytes ()
     // 标记
     Flags: 0x018 (PSH, ACK)
     // 窗口大小
     Window size value:
     // 计算窗口大小
     [Calculated window size: ]
     // 窗口大小乘积因子
     [Window size scaling factor: ]
     // 校验和
     Checksum: 0x99a8 [unverified]
     // 校验和监测状态
     [Checksum Status: Unverified]
     // 紧急指针
     Urgent pointer:
     [SEQ/ACK analysis]
     [Timestamps]
     // TCP负载
     TCP payload ( bytes)

第五层：HyperText Transfer Protocol（超文本传输协议）

 // 超文本传输协议（HTML）
 Hypertext Transfer Protocol
     // POST请求
     POST /q HTTP/1.1\r\n
     // 缓存控制
     Cache-Control: no-cache\r\n
     // 连接类型
     Connection: Keep-Alive\r\n
     // 编辑注解
     Pragma: no-cache\r\n
     // 用户代理
     User-Agent: SESC\r\n
     // 内容长度
     Content-Length: \r\n
         [Content length: ]
     // 主机
     Host: get.sogou.com\r\n
     \r\n
     // 完整请求地址
     [Full request URI: http://get.sogou.com/q]
     [HTTP request /]
     // 前一请求所在帧
     [Prev request in frame: ]
     // 响应帧
     [Response in frame: ]
     // 下一请求帧
     [Next request in frame: ]
     // 文件数据
     File Data:  bytes
     // 数据
     Data ( bytes)

HTTP协议的内容根据请求情况会有所不同，需要具体情况具体分析。