2.3.6 Wireshark工具的使用技巧

Wireshark（曾经称作Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能地显示出最详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。

在过去，网络封包分析软件是非常昂贵的，甚至专门属于盈利用的软件。Ethereal的出现改变了这一切。在GNUGPL通用许可证的保障范围下，使用者可以以免费的代价取得软件与其源代码，并拥有对其源代码修改及定制化的权利。目前，Wireshark是全世界应用最广泛的网络封包分析软件之一。

（1）应用目的

网络管理员使用Wireshark来检测网络问题，网络安全工程师使用Wireshark来检查信息安全相关问题，开发者使用Wireshark来为新的通信协定除错，普通使用者使用Wireshark来学习网络协定的相关知识。当然，有的人也会居心叵测地用它来寻找一些敏感信息。

Wireshark不是入侵侦测系统（Intrusion Detection System，IDS）。对于网络上的异常流量行为，Wireshark不会产生警示或任何提示。然而，仔细分析Wireshark撷取的封包能够帮助使用者更清楚地了解网络行为。Wireshark不会对网络封包产生内容的修改，它只会反映出目前流通的封包信息。Wireshark本身也不会发送封包到网络上。

（2）工作流程

1）确定Wireshark的位置。如果没有一个正确的位置，启动Wireshark后会花费很长的时间才能捕获一些与自己无关的数据。

2）选择捕获接口。一般都是选择连接到Internet网络的接口，这样才可以捕获到与网络相关的数据。否则，捕获到的其他数据对自己也没有任何帮助。

3）使用捕获过滤器。通过设置捕获过滤器，可以避免产生过大的捕获文件。这样用户在分析数据时，也不会受其他数据的干扰，可以为用户节约大量的时间。

4）使用显示过滤器。通常使用捕获过滤器过滤后的数据往往还是很复杂，为了使过滤的数据包更细致，可使用显示过滤器进行过滤。

5）使用着色规则。通常使用显示过滤器过滤后的数据都是有用的数据包。如果想更加突出地显示某个会话，可以使用着色规则高亮显示。

6）构建图表。如果用户想要更明显地看出一个网络中数据的变化情况，使用图表的形式可以很方便地展现数据分布情况。

7）重组数据。Wireshark的重组功能可以重组一个会话中不同数据包的信息，或者一个重组一个完整的图片或文件。由于传输的文件往往较大，所以信息分布在多个数据包中。为了能够查看整个图片或文件，就需要使用重组数据的方法来实现。