Wireshark网络抓包(四)——工具

一、基本信息统计工具

1）捕获文件属性（Summary）

1. File：了解抓包文件的各种属性，例如抓包文件的名称、路径、文件所含数据包的规模等信息

2. Time：获悉抓包的开始、结束和持续时间

3. Capture：抓包文件由哪块网卡生成、OS版本、Wireshark版本等信息

4. Display：剩下的是汇总统计信息，数据包的总数、数量以及占比情况、网速等

2）协议分级（Protocol Hierarchy）

1. Protocol：数据包所归属的协议名称

2. % Packets：抓包文件中所含数据包个数在每一种协议类型中的占比情况

3. Packets：每一种协议类型数据包的个数

4. % Bytes：抓包文件中所含数据包字节数在每一种协议类型中的占比情况

5. Bytes：每一种协议类型数据包的字节数

6. MBit/s：某种协议类型的数据包在抓包时段内的传输速率

7. End Packets：隶属于该协议类型的数据包的纯粹数量，例如TCP，纯粹指的是TCP头部之后没有高层协议头部（HTTP头等）

8. End Bytes：隶属于该协议类型的数据包的纯粹字节数

9. End Bits/s：隶属于该协议类型的数据包在抓包时段内的纯粹传输速率

3）对话（Conversation）

一次对话是指发生于一对特定端点（主机、服务器或网络设备）之间的所有流量。

TCP或UDP对话包括了4个特征（源、目IP地址和源、目端口号）全都匹配的数据包。

1. Ethernet标签：不同MAC地址的主机之间的交流

2. IPv4标签：不同IPv4地址的主机之间的沟通

3. TCP或UDP：不同IPv4地址的主机之间建立的各种TCP或UDP，可以发现某台主机是否打开过多连接，是否与稀奇古怪的端口号建立了连接。

4）端点（Endpoints）

此工具用来观察第二、三、四层端点（Ethernet端点、IP端点、TCP/UDP端点）有关的统计信息。

粗看与对话窗口类似，但对话窗口中会有Address A与Address B两个，而端点中只有一个。

5）HTTP统计信息

1. 分组计数器（Packet Counter）：展示HTTP数据包的总数，请求数据包和响应数据包的数量。

2. 请求（Requests）：主机请求访问Web站点的分布情况，以及所访问的Web站点的具体资源。

3. 负载分配（Load Distribution）：HTTP数据包（请求和响应）访问过哪些站点。

6）IP属性统计信息

1. All Addresses：所有的地址

2. Destinations and Ports：目的地址和端口号

3. IP Protocol Types：IP协议类型

4. Source and Destination Addresses：源和目的地址

二、高级信息统计工具——IO图表（IO Graphs）

1）IO图表（IO Graphs）

1. 样式：Line（线）、Impulse（脉冲）、Fbar（粗线）、Dot（点）

2. X轴配置：

间隔（Tick Interval）取值范围0.001秒~10分钟

一天时钟（View as time of day）勾选后会按一天当中的具体时刻来显示

3. Y轴配置：

速率单位（Unit）：Pickets、Bytes、Bits、Advanced（包括SUM、MAX等）

平滑速率（Smooth）：每个计时单位内的平均传输速率

2）IO图表高级配置（Y轴Unit参数Advanced选项）

单位时间：通过选择X轴参数配置区域内的Tick Interval下拉菜单项来指定

1. SUM(*)：每个单位时间内实际传输的IP数据包总字节数

2. COUNT FRAMES(*)：每个单位时间内发生匹配该条件的数量，例如重传数（tcp.analysis.retransmission）

3. COUNT FIELDS(*)：每个单位时间内所传数据包中该字段出现的次数

4. MAX(*)：每个单位时间内所传数据包相关参数的最高值，例如距离上一个捕获的包的时间间隔（frame.time_delta）

5. MIN(*)：每个单位时间内所传数据包相关参数的最低值

6. AVG(*)：每个单位时间内所传数据包相关参数的平均值

7. LOAD(*)：生成与响应时间有关的图形

三、高级信息统计工具——TCP流图形（TCP StreamGraph）

1）时间序列（Stevens）

在单位时间内，受监控的TCP流在某个方向所传数据的字节流。

一条连绵不断的斜线就表示正常的文件传输，而斜线时断时续，表示文件传输存在问题；

斜线的角度越大，表示文件的传输速率很高，反之，文件传输缓慢。

2）时间序列（tcptrace）

监控TCP连接的诸多详细信息。

分析与此TCP有关的种种问题，包括TCP确认、TCP重传、以及TCP窗口大小等信息。

上面一条表示TCP接收窗口，当两条曲线之间空间较大的时候，表示接收主机尚有缓存；当近乎重叠的时候，TCP窗口已满（window-full）不能继续传输数据

下面一条表示在单位时间内，受监控的TCP流在某个方向所传数据的字节流（也就是Stevens）

图中每个小竖条（放大后就能看到）表示TCP数据包起始和终止序列号都与纵坐标上的数字相对应。

3）吞吐量（Throughput）

不但能了解TCP连接的吞吐量，而且还能判断TCP连接是否稳定。

统计单位时间内在某一指定方向上传输的数据包的字节数（左边的Y轴）；

以此统计出来的吞吐量只是某个方向上传输的应用程序数据（不含IP头与TCP头）的吞吐量，单位为字节/秒（右边的Y轴）。

左边的Y轴就是包中的Len值，对应的是深蓝色的点；右边的Y轴对应的是咖啡色的斜线。

4）往返时间（Round Trip Time）

了解某条TCP连接中特定方向上的所有TCP报文段的往返时间（RTT）

X轴为序列号字段值，Y轴为时间值。

5）窗口尺寸（Window Scaling）

通过统计发送方的接收窗口大小，以此了解特定TCP连接的性能。

当窗口变小时，相关应用程序的吞吐量会相应降低，窗口的大小完全受控于建立连接的两个端点（服务器和客户端），大小的变化与网络性能无关。

四、专家信息（Expert Info）工具

窗口由Errors、Warnings、Notes、Chats等构成。

1）Errors

数据包中有严重错误。

校验和错误：Ethernet及IP校验和错误。

伪造的数据包：一般涉及具体的应用层协议。

2）Warnings

数据包中有一般性问题。

与TCP窗口有关的事件TCP window full或TCP zero window，一般是连接设备忙不过来所致。

与TCP报文段丢失或失序有关的事件，丢失是因为未抓全某个TCP数据流的所有TCP报文段；失序是因其感知到了TCP报文段未按发出的顺序到达接收主机。

3）Notes

数据包中有可能会引发故障的异常现象，例如TCP重传、重复确认、快速重传等现象。

4）Chats

数据包都符合常规流量的特征，包括SYN、FIN、RST以及各种状态码的HTTP事件。