一、简介

WireShark是一个网络数据包分析软件。它使用WinPCAP作为接口，直接与网卡进行数据报文交换。

网络数据包分析软件的功能是截取网络数据包，并尽可能显示出最为详细的网络数据包数据。

WireShake用在网络故障排查、协议分析、流量统计、威胁发现等方面，是安全、运维、开发等从业人员必备技能之一。抓取OSI七层协议所有数据包并根据内置规则进行协议解析为友好刻度的数据实时展示给用户，也可保存下来留后分析。

二、使用流程界面

1、开始界面

由于WireShark是捕获机器上的某一块网卡的网络包（网络包都是通过主机的网卡发出到对应的服务器上面，可以理解为应用层发出的请求网络包由本机网卡发向指定主机上），所以当机器上有多块网卡时，你需要选择一个网卡（可以上上网的那个网卡）

2、主界面

说明：

常用按钮从左到右的功能依次是：

1、列出可用接口。

2、抓包时需要设置的一些选项。一般会保留最后一次的设置结果。
     捕获过滤器：就在 2 下进行设置   

3、开始新的一次抓包。

4、暂停抓包。

5、继续进行本次抓包。

6、打开抓包文件。可以打开之前抓包保存后的文件。不仅可以打开wireshark软件保存的文件，也可以打开tcpdump使用-w参数保存的文件。

7、保存文件。把本次抓包或者分析的结果进行保存。

8、关闭打开的文件。文件被关闭后，就会切换到初始界面。

9、重载抓包文件。

获取的数据包：

编号，时间戳，源地址，目标地址，协议，长度，以及封包信息。 

同时不同的协议用不同的颜色显示。

可以在 View ->Coloring Rules 中修改不同的协议显示颜色的规则。

显示过滤器：

协议过滤：比如TCP

IP过滤：比如ip.src ==192.168.1.102：显示源地址为192.168.1.102网络请求封包。

端口过滤：比如tcp.port ==80：显示端口为80的网络请求封包。

HTTP模式过滤：比如 http.request.method=="GET"：  只显示HTTP GET请求方法的网络请求封包。

逻辑运算符：AND / OR
    

单个数据包的协议：

Frame:   物理层的数据帧概况

Ethernet II: 数据链路层以太网帧头部信息

Internet Protocol Version 4: 互联网层IP包头部信息

Transmission Control Protocol:  传输层T的数据段头部信息，此处是TCP

Hypertext Transfer Protocol:  应用层的信息，此处是HTTP协议。

三、过滤器区别：

注意区分一下捕获过滤器和应用显示过滤器，

捕获过滤器是有选择性的捕获特定数据包，

而应用显示过滤器是在开始抓包之后，过滤显示已经抓到的包。

捕获过滤器的优先级更高，它能够避免抓取的数据包过大但也可能会错失一些“重要”数据包。