Wireshark简介和工具应用
如何开始抓包?
打开wireshark,显示如下网络连接。选择你正在使用的,(比如我正在使用无线网上网),双击
可以先看下自己的ip地址和网关ip地址(看抓包数据时候会用到)
开始抓包
红框状态就是已经开始抓包了
混杂模式和普通模式选择
过滤器
过滤关心的协议
查看TCP三次握手的第一次SYN
查看TCP数据传输完成后四次挥手第一次fin
arp相关的包
如下图,一个典型的ARP报文,路由器问局域网中谁的主机(mac)ip地址是192.168.67.204?
观察下面报文细节:
此时目标MAC地址还是空的
arp欺骗
攻击者B伪造ARP报文(senderIP地址是网关的,senderMAC地址不是网关的),发送给网段内的主机A,那么主机A就会把网关的ip地址和伪造的mac地址缓存到arp缓存表内,导致主机A无法把要发给网关的消息送达网关,致使主机A无法正常访问外网。
攻击者B伪造ARP报文(senderIP地址是主机A的,senderMAC地址不是主机A的),发送给网关,网关就把主机A的ip地址和伪造的mac地址缓存到网关arp缓存表内,导致网关无法给主机A发送消息,致使主机A无法正常访问外网。
UDP
为什么显示是DNS?
因为底层用的UDP封装
http
只关注我发给别人的
只关注我发给别人的 或者 目的ip是我的网关的数据包
只关注我发给别人的 且 目的ip是我的网关的数据包
测试网络行为:ping一下网关,回车之前wireshark记得点击开始抓包
只关注我 某一个IP(无论它是源ip还是目的ip)
ICMP协议分析
ping一下网关,回车之前wireshark记得点击开始抓包
本机先发ping包到网关
下面这条报文是网关回的,Type:0
ping 属于一个通讯协议,是 TCP/IP 协议的一部分。利用 ‘ping’ 命令可以检查网络是否通畅或者查看网络连接速度,便于分析和判定网络故障
使用 ping 命令会发送一个 ICMP(Internet Control Messages Protocol【网络信报控制协议】),接收端在收到此 ICMP 后产生 ICMPecho (ICMP回声应答) ,通过此过程来确定两台网络机器是否连通,时延是多少。
ping是端对端连通,通常用来作为连通可用性的检查,但是某些恶意程序会通过大量执行 ping 命令来抢占网络资源,导致系统变慢,网速变慢(如部分DOS攻击会使用此方式)
————————————————
原文链接:https://blog.csdn.net/qq_37450949/article/details/119873675
TCP/IP 协议分析
注意:中间的http包占用了很多序列号(包的大小)
学习参考
1.1.4 WireShark安装入门之快速抓包_哔哩哔哩_bilibili
2.WireShark抓包入门操作_哔哩哔哩_bilibili
详细讲解TCP协议的三次握手和四次挥手_哔哩哔哩_bilibili
服务器托管,北京服务器托管服务器托管网,服务器租用 http://www.fwqtg.net