零、安装
安装的话网上很多。
一、抓安装机本地网卡的数据、以及常用的filter语法。
入门使用的话可以参考这个链接。
wireshark抓包新手使用教程 - jack_Meng - 博客园
其实主要就是Capture→Options→ Wi-Fi:en0应该就是本地网卡。
?
注:包体中的字符串是可以直接在ascii处原模原样显示出来的，但是数字等不可以。
二、远端机器玩法一 —— tcpdump输出.cap文件，wireshark分析之
对于远端机器一个常用的玩法就是使用tcpdump抓取数据包文件，然后用本地的wireshark来看。
具体玩起来也很简单。就是tcpdump的时候指定 -w a.cap 将原始包写入a.cap文件。如下都是可以的。tcpdump的玩法参见??https://blog.csdn.net/mijichui2153/article/details/81356044
tcpdump -i eth1 host 10.56.114.22 -w a.cap
tcpdump -i eth1 host 10.56.114.22 -X -w b.cap然后就是wireshark→file→open，打开后就和实时抓取的是一样的了(选中消息、展开看详情等等)。
三、远端机器玩法二?—— wireshark连过去直接抓数据包
网上搜“wireshark 抓取远程linux服务器 数据包” 之类的就能搜到很多。
我们这里就看一下，mac wireshark是怎么抓取远程服务器的数据包的。如下：
四、具体数据包分析
1、udp数据包分析:
2、各层分析
还是很直观的。分别对应物理层、数据链路层、网络层、传输层、应用层。?
这篇博客对每一层及其内容的含义做了详细的介绍，非常详尽！！！！
WireShark入门使用详解_莫瑞与甜甜圈的博客-CSDN博客
五、分析发出请求与收到回包
0.背景
在工具集100.116.191.98上给11.167.8.13所在的服务发送一个请求，期望收到对应回包。这里通过wireshark抓包确定 ①请求确实发出去了 ②确实收到rsp了。
1.验证req确实发出去了
通过如下语句抓包:
tcpdump -i eth1 -X '(src host 100.116.191.98) and (dst host 11.167.8.13)'
tcpdump -i eth1 -X '(src host 100.116.191.98) and (dst host 11.167.8.13)' -w req.cap
?
2.验证确实是收到rsp了的
通过如下语句抓包:
tcpdump -i eth1 -X '(src host 11.167.8.13) and (dst host 100.116.191.98)'
tcpdump -i eth1 -X '(src host 11.167.8.13) and (dst host 100.116.191.98)' -w rsp.cap
?