当前位置: 首页>数据库>正文

wireshark检查网络风暴 wireshark判断网络风暴

3.1 WireShark简介和抓包原理及过程

3.1.1 WireShark简介

      WireShark是一个网络封包分析软件,网络封包分析软件的功能是提取网络封包,并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口,直接与网卡进行数据报文交换。

3.1.2 WireShark快速分析数据包技巧

  1. 确定WS的物理位置,如果没有一个正确的位置,启动WS会花费很长是时间捕捉与自己无关的信息
  2. 选择捕获接口,一般都是选择连接到internet的网络接口
  3. 使用捕获过滤器,可以避免产生过大的捕获数据,这样用户在分析数据时不会被其他干扰。
  4. 使用显示过滤器
  5. 使用着色规则
  6. 构建图标,可以明显的看见网络中数据的变化情况。
  7. 重组数据,可以重组一个会话中,不同数据包的信息,或者是重组一个完整的图片或者文件。

3.2 WireShark抓包及快速定位数据包技巧

3.2.1  常见协议包

ARP   ICMP  TCP  UDP  DNS  HTTP

3.2.2 混杂模式介绍

  1. 混杂模式就是接收所有经过网卡的数据包,包括不是发给本机的包,即不验证MAC地址。普通模式下网卡只接收发给本机的包,传递给上层程序,多在网络监听工具上使用。
  2. 关闭和开启混杂模式(第一次使用WK是混杂模式)

   

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_网络,第1张

     点击捕获-把下面的勾关掉,就是关闭混杂模式

3.2.3  过滤器的使用

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_web安全_02,第2张

src host 192.168.1.14  是捕获源ip发出去的数据包

dst host 192.168.1.14  是捕获所有发给目标主机的数据包

port 80  只捕获80端口的

如何筛选指定的源地址或者目标地址

ip.src_host == 192.168.1.53 or ip.dst_host == 192.168.1.1

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_网络_03,第3张

ip.addr == 192.168.1.53    //筛选所有和1.53有关的数据包

3.3 使用WireShark对常用协议抓包及分析

3.3.1  ARP协议

  1. 地址解析协议,是一个通过解析网络层地址来找找寻数据链路层地址的网络传输协议。ARP是通过网络地址来定位MAC地址。

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_HTTP_04,第4张

Broadcast  广播包

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_wireshark_05,第5张

问 谁有192.168.1.1?请告诉192.168.1.53

然后 会给回应并提供物理地址

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_web安全_06,第6张

四个F表示广播包,也就是请求包

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_网络_07,第7张

表示网关回给192.168.1.53  得到目的地址

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_wireshark_08,第8张

3.3.2 ICMP协议

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_wireshark检查网络风暴_09,第9张

reply in 9 响应包在No.9

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_web安全_10,第10张

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_HTTP_11,第11张

响应包和请求包 这四项数据是一样的

3.3.3 TCP 协议

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_网络_12,第12张

可以通过数据包来清晰的看见三次握手

流量图!

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_web安全_13,第13张

6340请求连接22端口  三次握手后,开始进行数据传输

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_网络_14,第14张

FIN表示断开连接,进行四次挥手。

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_网络_15,第15张

3.3.4 HTTP 协议

HTTP协议是基于TCP的上层协议,过滤TCP的数据包会包含HTTP协议的数据包

curl -I baidu.com      //得到百度的头部信息

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_网络_16,第16张

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_wireshark_17,第17张

前三个包是三次握手   最后一个是RST断开连接  之前的是四次挥手。

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_web安全_18,第18张

表示向百度发送一个获取头部信息的请求。

追踪HTTP流

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_HTTP_19,第19张

上面是发送的请求   下面是百度回复的相应。

3.4 使用WireShark抓包解决服务器被黑上不了网

模拟场景:服务器被黑了,可以ping通网关,但是不能上网. 修改主机的TTL值 为1    

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_网络_20,第20张

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_wireshark_21,第21张

TTL值没经过一个网络设备,就会减1 ,当TTL值才为0时,说明目标地址不能达到,并且返回: Time to live exceeded。

作用: 防止数据包无限制的在公网中转发 !

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_wireshark检查网络风暴_22,第22张

可以ping通网关 但是不能ping通外网。

TTL 为 1 时

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_wireshark检查网络风暴_23,第23张

网关给回包

当TTL 为2时候

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_HTTP_24,第24张

说明这个数据包在网络中已经达到了下一个网络设备才被丢弃,由此可以判断出我们的运营商网关地址为112.103.140.1,但是并没有达到目标主机

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_网络_25,第25张

TTL值为52  说明到达xuegod.cn需要经过64-52=12 个网络设备。

mtr

 

wireshark检查网络风暴 wireshark判断网络风暴,wireshark检查网络风暴 wireshark判断网络风暴_wireshark_26,第26张


https://www.xamrdz.com/database/6ab1942142.html

相关文章: