实验二 Wireshark的使用与PackerTracer的使用
实验目的：掌握网络协议分析软件Wireshark的常用操作和网络模拟器PackerTracer的常用操作。
实验环境：计算机若干、直通双绞线若干、小型非管理交换机10台。
实验步骤：
1、配置对等局域网
2、Wireshark的使用
（1）启动系统。点击“Wireshark”图标，将会出现如图1 所示的系统界面。
图1 Wireshark 系统界面
其中“俘获(Capture)”和“分析(Analyze)”是Wireshark 中最重要的功能。
(2) 分组俘获。点击“Capture/Interface”菜单，出现如图2 所示界面。
图2 俘获/接口界面
如果该机具有多个接口卡，则需要指定希望在哪块接口卡俘获分组。点击“Options”，则出现图3 所示的界面。
图3 俘获/接口/选项界面
在该界面上方的下拉框中将列出本机发现的所有接口；选择一个所需要的接口；也能够在此改变俘获或显示分组的选项。
此后，在图2 或者图3 界面中，点击“Start(开始)”，Wireshark 开始在指定接口上俘获分组，并显示类似于图4 的界面。
当需要时，可以点击“Capture/Stop” 停止俘获分组，随后可以点击“File/Save”将俘获的分组信息存入踪迹(trace)文件中。当需要再次俘获分组时，可以点击“Captuer/Start”重新开始俘获分组。
(3) 协议分析。系统能够对Wireshark 俘获的或打开的踪迹文件中的分组信息(用
File/Open 功能)进行分析。如图4 所示，在上部“俘获分组的列表”窗口中，有编号(No)、时间(Time)、源地址(Source)、目的地址(Destination)、协议(Protocol)、长度(Length)和信息(Info) 等列(栏目)，各列下方依次排列着俘获的分组。中部“所选分组首部的细节信息”窗口给出选中协议数据单元的首部详细内容。下部“分组内容”窗口中是对应所选分组以十六进制数和ASCII 形式的内容。
若选择其中某个分组如第255 号帧进行分析。从图4 中的信息可见，该帧传输时间为俘获后的15.129546 秒；从源IP 地址119.147.41.101 传输到目的IP 地址222.95.175.235；帧的源MAC 地址和目的MAC 地址分别是00.e0.fc.65.73.59 和00.16.35.aa.f3.75 (从中部分组首部
信息窗口中可以看到)；分组长度74 字节；是TCP 携带的HTTP 报文。
图4 Wireshark 的俘获分组界面
从分组首部信息窗口，可以看到各个层次协议及其对应的内容。例如，对应图5 的例子，包括了Ethernet II 帧及其对应数据链路层信息(参见图5)，可以对应Ethernet II 帧协议来解释对应下方协议字段的内容。接下来，可以发现Ethernet II 协议上面还有PPP-over-Ethernet 协议、Point-to-Point 协议、IP 和TCP 等，同样可以对照网络教材中对应各种协议标准，分析解释相应字段的含义。
注意：当我们分析自行俘获分组时，即使无法得到与如图4 所示完全一样的界面，但也能够得到非常相似的分析结果。在后面的实验中，读者应当有意地改变相应的报文内容或IP
地址等，培养这种举一反三能力的能力。
图5 Ethernet 帧及其对应数据链路层信息
当俘获的分组太多、类型太杂时，可以使用Analyze 中的“使能协议(Enabled Protocols)”
和过滤器(Filters)等功能，对所分析的分组进行筛选，排除掉无关的分组，提高分析效率。
思考：
(1)通过使用Wireshark 协议分析仪，应当理解Wireshark 的工作原理，对于与之相关的
网络接口(指出网络接口卡类型)、网络地址(指出IP 地址、MAC 地址)、网络协议(指出发现的集中协议)等重要概念有基本的理解。
(2)在图4上部“俘获分组的列表”窗口中，有编号(No)、时间(Time)等字段信息。对于一段时间范围内往返于相同源和目的地之间的相同类型的分组，这些编号、时间等能否构成分析网络协议运行、交互轨迹的信息？
相关概念：
1) Wireshark 简介。Wireshark 是一种具有图形用户界面的网络协议分析仪，可以用于从实际运行的网络俘获分组或从以前保存的踪迹文件中交互地浏览、分析处理分组数据。Wireshark 是一个免费软件，因商标原因从Ethereal 改名而得，是能够在Windows、Linux/Unix 和Mac 计算机上运行的免费分组嗅探器(packet sniffer)。Wireshark 能够读取libpcap 俘获文件，也能够读取包括用Tcpdump 俘获的文件，以及snoop，atmsnoop, LanAlyzer, Sniffer (压缩和非压缩的), Microsoft Network Monitor, AIX 的iptrace, NetXray, Sniffer Pro, Etherpeek, RADCOM的WAN/LAN analyzer, Lucent/Ascend router debug output, HP-UX 的nettl, Cisco
的安全入侵检测系统以IPLog 格式输出的pppd 日志文件。它能够自行分析文件类型，即使用gzip 进行压缩也是如此。
Wireshark 对于在实践中分析和调试网络协议，特别是对初学者理解网络协议都是十分有用的工具。当在家中或在实验室中使用桌面计算机运行网络应用程序时，可以用Wireshark 观察本机基于网络协议与在因特网别处执行的协议实体交互和交换报文情况。因此，Wireshark能够使用户计算机成为真实动态实验的有机组成部分，通过动手实验来观察网络的奥秘，进而深入理解和学习它们。能够得到极大地深化读者的网络概念和提升实验技能：观察网络协议的动作和动手操作它们，即观察两个协议实体之间交换的报文序列，钻研协议运行的细节，使协议执行某些动作，观察这些动作及其后果。
图6 分组嗅探器结构
2) Wireshark 的结构。作为分组嗅探器，Wireshark 俘获从计算机发送接收的报文，通常也能够存储和显示这些俘获的报文中各个协议字段的内容。分组嗅探器自身是被动的，观测运行在计算机中的应用程序和协议所发送及接收的报文，但自身并不发送分组。类似地，接收到的分组决不会显式地以分组嗅探器为目的地址，它们仅是在机器上运行的应用程序和协
议收发分组的副本。图6 显示了分组嗅探器的结构。图中的计算机通常运行着应用程序及其协议，显示在图中方框内的分组嗅探器是计算机中附加的一个普通软件，它由两部分组成。分组俘获器接收计算机收发的每个链路层帧的副本。大家知道较高层协议如HTTP、FTP、TCP、UDP、DNS 或IP 之间交换的报文全都逐个封装在链路层帧中，并在物理介质如以太电缆上传输。如果图中的物理介质是以太双绞线等，则所有高层协议则将封装在以太帧中。俘获所有链路层帧从而使读者能够观察到在计算机中执行的所有应用程序和协议收发的报文。
嗅探器的第二部分是分组分析器，它显示协议报文的所有字段的内容。为了实现该功能，分组分析器必须要能理解协议交换的所有报文结构。例如，如果想要显示图中由FTP 交换
报文的各个字段，则该分组分析器需要理解以太帧格式，这样才能识别以太帧中的IP 数据报，进而通过分析IP 数据报才能从中提取TCP 报文段。只有理解了TCP 段结构，才能提
取包含在TCP 段中的FTP 报文。最终，只有理解了FTP 协议，才能正确显示“USER”、“PASS”或“LIST”等命令。
注意事项：
1) 安装Wireshark 网络协议分析仪前应安装WinPcap 网络监测驱动程序。
2) 俘获分组前应注意选择正确的网络接口。
3) 协议分组的俘获结果可以保存在指定的文件中，并可以在以后再行使用。
4) Wireshark 网络协议分析仪还具有其他丰富的功能，读者可以参阅随软件的“Wireshark 帮助”文档自行学习。
3、PackerTracer的使用
1)使用PacketTracer 模拟器
(1) 启动系统。点击“CISCO Packet Tracer”图标，将会出现如图1 所示的系统界面。
图1 PacketTracer 的主界面
菜单栏中包含新建、打开、保存等基本文件操作，其下方是一些常用的快捷操作图标。
工作区则是绘制、配置和调试网络拓扑图的地方。操作工具位于工作区右边，自上而下有7 个按钮。这些操作工具的作用分别是：选择(Selected)，用于选中配置的设备；移动(Move Layout)，用于改变拓扑布局；放置标签(Place Note)，用于给网络设备添加说明；删除(Delete)，用于去除拓扑图中的元素，如设备、标签等；检查(Inspect)，用于查询网络设备的选路表、MAC 表、ARP 表等；增加简单的PDU(Add Simple PDU)，用于增加IP 报文等简单操作；增加复杂的PDU(Add Complex PDU)，可以在设置IP 报文后再设置TTL 值等操作。使用检
查工具可以查看网络设备(交换机、路由器)的3 张表，该功能等同于在IOS 命令行中采用相应的show 命令，如show arp。增加简单的PDU 和增加复杂的PDU 两个工具用于构造测试
网络的报文时使用，前者仅能测试链路或主机之间是否路由可达，后者则具有更多的功能。例如，要测试PC0 到Router0 之间的连通性，可以先用增加简单的PDU 工具点击PC0，再
用该工具点击Router0 就可以看出两设备之间是否连通。如图2 所示。
图2 用增加简单的PDU 工具测试设备之间的连通性
增加复杂的PDU 工具的使用方法稍复杂些，也是先用工具依次点击所要测试链路的两端，再设置所要发送的报文格式。设置报文格式如图3 所示。
图3 定制增加复杂的PDU 中的报文
在主界面右下角，是转换实时模式与模拟模式的按钮。在实时模式下，所有操作中报
文的传送是在瞬间完成。在模拟状态下，报文的传送是按操作一步一步地向前走，有助于
我们仔细地观察报文的具体传输过程。
(2) 绘制网络拓扑图
绘制网络拓扑图主要有以下几个步骤：增加网络设备，增加设备硬件模块，连接设备
和配置设备等。
增加网络设备：在主界面下方有增加网络设备的功能区，该区域有两个部分：设备类
别选择区域以及显示某个类别设备的详细型号区域。先点击设备类别，再选择具体型号的
设备。例如，先从左下角区域选择了路由器类别，此时右侧区域将显示可用的各种CISCO
路由器型号列表，点选后可以将其拖入工作区。这样，可以从中选用所要的(大量的!)网络
设备。
增加设备硬件模块(选项)：如果选用的网络设备恰好适用，则可以进行下一步。但有时有些设备基本合用，但还缺少某些功能，如某种硬件接口数量不够等，这就需要通过增加
设备硬件模块来解决。例如，如果选择了路由器2620XM，发现它仅有一个10/100Mbps 的
以太端口，一个控制端口和一个辅助设备端口。若需要扩展一个光纤介质的100 Mbps 的以太端口和一些RJ45 端口的以太端口。这时双击工作区路由器2620XM 图标，可以看到如图4所示的界面。从图中左侧物理模块列表中找出模块NM-1FE-FX，从左下方窗口中的描述
发现它符合要求，就可以将其拖入上部的物理设备视图中。由此，可以完成所有相关操作。
图4 路由器2620XM 的物理接口
连接设备：在设备类型区域选取“连接(Connections)”，再在右侧选取具体连接线缆类型。注意到连接线缆有如下不同类型：线缆有控制口(Console) 、直连铜线(Copper
Straight-Through)、交叉铜线(Copper Cross-Over)和光纤(Fiber)等，你需要选取适当的线缆类型才能保证设备能够正确连通。
配置设备：配置网络设备是一件细致的工作，将在其他实验中讲解配置网络设备详细过程。
下面以图5 为例，讲解绘制一幅简单的网络拓扑图的过程(参见图5) 。
先用上述方法从设备区拖入两台PC 和一台交换机，再用直通铜线与某个RJ45 以太端
口连接。稍侯片刻，线缆端的点就会变绿，表示所有的物理连接都是正确的，否则要检查并排除所存在的物理连接方面的问题。
图5 经交换机连接两台PC
为了使两台PC 之间IP 能够连通，需要进一步配置该网络的网络层协议。双击PC0 的图标，进入“Config/FastEthernet”界面，开始配置“IP Configuration”。选静态(Static)方式，IP 地址可以输入：192.168.1.1，子网掩码可以选：255.255.255.0。对PC1 图标，也进行类似的配置，只是IP 地址可以为：192.168.1.2。为了检验配置是否正确，双击PC0，进入“Desktop/Command Ptompt”界面，键入：ping 192.2.162.2，这时就应当出现PC1 对该Ping 响应的信息。由于交换机是一种自配置的设备，无需配置就能使用其基本功能工作。
2)观察与IP 网络接口的各种网络硬件
为了能够利用IP 进行通信，网络设备硬件接口之间至少要用一种物理介质连接好，并且要求这些硬件接口与物理介质相匹配。下面，通过实验来研究相关内容。
从PacketTracer 中打开路由器2620XM 的物理设备视图，仔细做下列工作：观察有关NM-1FE-FX 模块描述；将其拖入设备，观察模块面板上的硬件接口情况(可以用Zoom In 放大)；做笔记，并自行分析该模块的适用场合。
对路由器2620XM 的NM-1FE-TX、NM-2FE2W、NM-8AM、NM cover plate 模块分别做出上述工作。
3)ping 和traceroute 实验
(1) 启动系统。在网络设备库中选择型号为“1841”的路由器一台，PC 机两台，如图6 所示。
图6 构建网络拓扑
(2) 创建链路。在设备库中选择链路，选择自动添加链路类型，然后分别点击需要添加链路的设备，结果如图7 所示，此时链路两端红色表示链路不通。
图7 添加链路
(3) 配置网络设备。双击设备，得到设备的配置界面。在PC 机的配置界面中，选择“Desktop”标签，选择“IP Configuration”，配置PC 机的地址信息，如图8 所示。按上述方法，将PC0 的IP 设置为192.168.1.2，子网掩码255.255.255.0，默认网关192.168.1.1。用同样的方法设置PC1 的IP 为192.168.2.2，子网掩码255.255.255.0，默认网关192.168.2.1。
图8 PC 配置
配置路由器端口。设置Router0，在路由器配置界面中选择“config”标签，选择“FastEthernet0/0” ，将IP 设置成192.168.1.1 ，子网掩码255.255.255.0 ，同样设置“FastEthernet0/1”，将IP 设置成192.168.2.1，子网掩码255.255.255.0，如图9 所示，注意
将路由器端口打开。
图9 路由器配置
(4) 使用Ping 命令，并在模拟模式下观察。如图10 所示，进入模拟模式。双击PC0 的图标，选择“Desktop”标签，选择“Command Prompt”，输入“ping 192.168.2.2”，如图11 所示。同时，点击“Auto capture/play”按钮，运行模拟过程，观察事件列表“Event List”中的报文。
图10 进入模拟模式
图11 运行ping 命令
(5) 使用tracert 命令，并在模拟模式下观察。
相关概念:
Packet Tracer 网络模拟器。PacketTracer 是著名网络设备厂商CISCO 公司开发的一种集成模拟、可视化、交互式学习和评价环境，供网络初学者学习计算机网络的设计、配置和排除故障之用。Packet Tracer 根据网络设备和协议的简化模型，以模拟、可视化、连续播放网络现象，使用者能够获得理解网络行为的感受，获得操作、配置网络设备的经验。
注意事项:
当物理连接正确时，与设备端口连接的线缆上的点应当变为绿色。否则，应当检查线缆的类型是否正确以及接口卡是否处于“开(on)”的状态。
Wireshark教程带实例 第 1 章介绍 1.1. 什么是Wireshark Wireshark 是网络包分析工具。网络包分析工具的主要作用是尝试捕获网络包，并尝试显示包的尽可能详细的情况。 你可以把网络包分析工具当成是一种用来测量有什么东西从网线上进出的测量工具，就好像使电工用来测量进入电信的电量的电度表一样。（当然比那个更高级） 过去的此类工具要么是过于昂贵，要么是属于某人私有，或者是二者兼顾。 Wireshark出现以后，这种现状得以改变。Wireshark可能算得上是今天能使用的最好的开元网络分析软件。 1.1.1. 主要应用 下面是Wireshark一些应用的举例： ?网络管理员用来解决网络问题 ?网络安全工程师用来检测安全隐患 ?开发人员用来测试协议执行情况 ?用来学习网络协议 除了上面提到的，Wireshark还可以用在其它许多场合。 1.1. 2. 特性 ?支持UNIX和Windows平台 ?在接口实时捕捉包 ?能详细显示包的详细协议信息 ?可以打开/保存捕捉的包 ?可以导入导出其他捕捉程序支持的包数据格式 ?可以通过多种方式过滤包 ?多种方式查找包 ?通过过滤以多种色彩显示包 ?创建多种统计分析 ?…还有许多 不管怎么说，要想真正了解它的强大，您还得使用它才行
图 1.1. Wireshark捕捉包并允许您检视其内 1.1.3. 捕捉多种网络接口 Wireshark 可以捕捉多种网络接口类型的包，哪怕是无线局域网接口。想了解支持的所有网络接口类型，可以在我们的网站上找到https://www.doczj.com/doc/4d11224288.html,/CaptureSetup/NetworkMedia. 1.1.4. 支持多种其它程序捕捉的文件 Wireshark可以打开多种网络分析软件捕捉的包，详见??? 1.1.5. 支持多格式输出 Wieshark可以将捕捉文件输出为多种其他捕捉软件支持的格式，详见??? 1.1.6. 对多种协议解码提供支持 可以支持许多协议的解码(在Wireshark中可能被称为解剖)??? 1.1.7. 开源软件 Wireshark是开源软件项目，用GPL协议发行。您可以免费在任意数量的机器上使用它，不用担心授权和付费问题，所有的源代码在GPL框架下都可以免费使用。因为以上原因，人们可以很容易在Wireshark上添加新的协议，或者将其作为插件整合到您的程序里，这种应用十分广泛。 1.1.8. Wireshark不能做的事 Wireshark不能提供如下功能 ?Wireshark不是入侵检测系统。如果他/她在您的网络做了一些他/她们不被允许的奇怪的事情，Wireshark不会警告您。但是如果发生了奇怪的事情，Wireshark可能对察看发生了什么会有所帮助。[3]?Wireshark不会处理网络事务，它仅仅是“测量”(监视)网络。Wireshark不会发送网络包或做其它交互性的事情（名称解析除外，但您也可以禁止解析）。 1.2. 系通需求
第一次实验：利用Wireshark软件进行数据包抓取 1.3.2 抓取一次完整的网络通信过程的数据包实验 一，实验目的： 通过本次实验，学生能掌握使用Wireshark抓取ping命令的完整通信过程的数据包的技能，熟悉Wireshark软件的包过滤设置和数据显示功能的使用。 二，实验环境： 操作系统为Windows 7,抓包工具为Wireshark. 三，实验原理： ping是用来测试网络连通性的命令，一旦发出ping命令，主机会发出连续的测试数据包到网络中，在通常的情况下，主机会收到回应数据包，ping采用的是ICMP协议。 四，验步骤： 1.确定目标地址：选择https://www.doczj.com/doc/4d11224288.html,作为目标地址。 2.配置过滤器：针对协议进行过滤设置，ping使用的是ICMP协议，抓包前使用捕捉过滤器，过滤设置为icmp,如图 1- 1
图 1-1 3.启动抓包：点击【start】开始抓包，在命令提示符下键入ping https://www.doczj.com/doc/4d11224288.html,, 如图 1-2
图 1-2 停止抓包后，截取的数据如图 1-3 图 1-3 4，分析数据包：选取一个数据包进行分析，如图1- 4
图1-4 每一个包都是通过数据链路层DLC协议，IP协议和ICMP协议共三层协议的封装。DLC协议的目的和源地址是MAC地址，IP协议的目的和源地址是IP地址，这层主要负责将上层收到的信息发送出去，而ICMP协议主要是Type和Code来识别，“Type:8,Code：0”表示报文类型为诊断报文的请求测试包，“Type:0,Code:0”表示报文类型为诊断报文类型请正常的包。ICMP提供多种类型的消息为源端节点提供网络额故障信息反馈，报文类型可归纳如下： （1）诊断报文（类型：8，代码0；类型：0代码：0）； (2）目的不可达报文（类型：3，代码0-15）； （3）重定向报文（类型：5，代码：0--4）； （4）超时报文（类型：11，代码：0--1）； （5）信息报文（类型：12--18）。
Wireshark的捕捉过滤器和显示过滤器 Wireshark两种过滤器使用的语法是完全不同的。我们将在接下来的几页中对它们进行介绍： 1. 捕捉过滤器 捕捉过滤器的语法与其它使用Lipcap（Linux）或者Winpcap（Windows）库开发的软件一样，比如著名的TCPdump。捕捉过滤器必须在开始捕捉前设置完毕，这一点跟显示过滤器是不同的。 设置捕捉过滤器的步骤是： - 选择capture -> options。 - 填写"capture filter"栏或者点击"capture filter"按钮为您的过滤器起一个名字并保存，以便 在今后的捕捉中继续使用这个过滤器。 - 点击开始（Start）进行捕捉。
语法： 例子：tcp dst 10.1.1.1 80 and tcp dst 10.2.2.2 3128 Protocol（协议）: 可能的值: ether, fddi, ip, arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp. 如果没有特别指明是什么协议，则默认使用所有支持的协议。 Direction（方向）: 可能的值: src, dst, src and dst, src or dst 如果没有特别指明来源或目的地，则默认使用"src or dst" 作为关键字。 例如，"host 10.2.2.2"与"src or dst host 10.2.2.2"是一样的。Host(s): 可能的值：net, port, host, portrange. 如果没有指定此值，则默认使用"host"关键字。
一、实验目的 1、熟悉并掌握Wireshark的基本使用； 2、了解网络协议实体间进行交互以及报文交换的情况。 二、实验环境 与因特网连接的计算机，操作系统为Windows，安装有Wireshark、IE等软件。 三、预备知识 要深入理解网络协议，需要观察它们的工作过程并使用它们，即观察两个协议实体之间交换的报文序列，探究协议操作的细节，使协议实体执行某些动作，观察这些动作及其影响。这种观察可以在仿真环境下或在因特网这样的真实网络环境中完成。 观察正在运行的协议实体间交换报文的基本工具被称为分组嗅探器（packet sniffer），又称分组捕获器。顾名思义，分组嗅探器捕获（嗅探）你的计算机发送和接收的报文。 图显示了一个分组嗅探器的结构。 图分组嗅探器的结构 图右边是计算机上正常运行的协议和应用程序（如：Web浏览器和FTP客户端）。分组嗅探器（虚线框中的部分）主要有两部分组成：第一是分组捕获器，其功能是捕获计算机发送和接收的每一个链路层帧的拷贝；第二个组成部分是分组分析器，其作用是分析并显示协议报文所有字段的内容（它能识别目前使用的各种网络协议）。 Wireshark是一种可以运行在Windows, UNIX, Linux等操作系统上的分组
嗅探器，是一个开源免费软件，可以从下载。 运行Wireshark 程序时，其图形用户界面如图所示。最初，各窗口中并无数据显示。Wireshark 的界面主要有五个组成部分： 命令和菜单 协议筛选框 捕获分组 列表 选定分组 首部明细 分组内容 左：十六进制 右：ASCII码 图 Wireshark 主界面 命令菜单（command menus）：命令菜单位于窗口的最顶部，是标准的下拉式菜单。 协议筛选框（display filter specification）：在该处填写某种协议的名称，Wireshark据此对分组列表窗口中的分组进行过滤，只显示你需要的分组。 捕获分组列表（listing of captured packets）：按行显示已被捕获的分组内容，其中包括：分组序号、捕获时间、源地址和目的地址、协议类型、协议信息说明。单击某一列的列名，可以使分组列表按指定列排序。其中，协议类型是发送或接收分组的最高层协议的类型。 分组首部明细（details of selected packet header）：显示捕获分组列表窗口中被选中分组的首部详细信息。包括该分组的各个层次的首部信息，需要查看哪层信息，双击对应层次或单击该层最前面的“＋”即可。 分组内容窗口（packet content）：分别以十六进制（左）和ASCII码（右）两种格式显示被捕获帧的完整内容。
Wireshark图解教程（简介、抓包、过滤器）配置 Wireshark是世界上最流行的网络分析工具。这个强大的工具可以捕捉网络中的 数据，并为用户提供关于网络和上层协议的各种信息。与很多其他网络工具一样，Wireshark也使用pcap network library来进行封包捕捉。可破解局域网内QQ、 邮箱、msn、账号等的密码！！ Wireshark是世界上最流行的网络分析工具。这个强大的工具可以捕捉网络中的数据，并为用户提供关于网络和上层协议的各种信息。与很多其他网络工具一样，Wireshark也使用pcap network library来进行封包捕捉。可破解局域网内QQ、邮箱、msn、账号等的密码！！ wireshark的原名是Ethereal，新名字是2006年起用的。当时Ethereal的主要开发者决定离开他原来供职的公司，并继续开发这个软件。但由于Ethereal这个名称的使用权已经被原来那个公司注册，Wireshark这个新名字也就应运而生了。 在成功运行Wireshark之后，我们就可以进入下一步，更进一步了解这个强大的工具。下面是一张地址为192.168.1.2 的计算机正在访问“https://www.doczj.com/doc/4d11224288.html,”网站时的截图。 1.MENUS（菜单） 2.SHORTCUTS（快捷方式） 3.DISPLAY FILTER（显示过滤器） 4.PACKET LIST PANE（封包列表) 5.PACKET DETAILS PANE（封包详细信息） 6.DISSECTOR PANE（16进制数据） 7.MISCELLANOUS（杂项）
1. MENUS（菜单） 程序上方的8个菜单项用于对Wireshark进行配置： -"File"（文件）-"Edit"（编辑）-"View"（查看）-"Go"（转到）-"Capture"（捕获）-"Analyze"（分析）-"Statistics"（统计） -"Help"（帮助）打开或保存捕获的信息。 查找或标记封包。进行全局设置。 设置Wireshark的视图。 跳转到捕获的数据。 设置捕捉过滤器并开始捕捉。 设置分析选项。 查看Wireshark的统计信息。 查看本地或者在线支持。 2. SHORTCUTS（快捷方式） 在菜单下面，是一些常用的快捷按钮。 您可以将鼠标指针移动到某个图标上以获得其功能说明。 3.DISPLAY FILTER（显示过滤器） 显示过滤器用于查找捕捉记录中的内容。 请不要将捕捉过滤器和显示过滤器的概念相混淆。请参考Wireshark过滤器中的详细内容。 返回页面顶部 4.PACKET LIST PANE（封包列表）
Wireshark教程 当前，互联网已经越来越成为人们生活中必不可少的组成部分。面对日益复杂的网络环境，网络管理员必须花费更很多的时间和精力，来了解网络设备的运作情况，以维持系统的正常运行。当网络趋于复杂，就必须借助于专业的工具了。因此，作为一个网络管理人员和网络从业者，熟练掌握和运用一套网络管理软件来对整个网络进行协议分析，是一个必不可少的技能。 当前较为流行的网络协议嗅探和分析软件—Wireshark 。通过使用抓包工具，来准确而快速地判断网络问题的所在，大大缩短寻找问题的时间。 网络管理人员的私人秘书—Wireshark 网络流量分析是指捕捉网络中流动的数据包，并通过查看包内部数据以及进行相关的协议、流量分析、统计等来发现网络运行过程中出现的问题，它是网络和系统管理人员进行网络故障和性能诊断的有效工具。通常，人们把网络分析总结为四种方式：基于流量镜像协议分析，基于 SNMP 的流量监测技术，基于网络探针（ Probe ）技术和基于流（ flow ）的流量分析。而我们下面要向大家介绍的 Wireshark 就是基于流量镜像协议分析。 流量镜像协议分析方式是把网络设备的某个端口（链路）流量镜像给协议分析仪，通过 7 层协议解码对网络流量进行监测。但该方法主要侧重于协议分析，而非用户流量访问统计和趋势分析，仅能在短时间内对流经接口的数据包进行分析，无法满足大流量、长期的抓包和趋势分析的要求。 Wireshark 的前身是著名的 Ethereal 。 Wireshark 是一款免费的网络协议检测程序。它具有设计完美的 GUI 和众多分类信息及过滤选项。下面是 Wireshark 的界面。 用户通过 Wireshark ，同时将网卡插入混合模式，可以用来监测所有在网络上被传送的包，并分析其内容。通过查看每一封包流向及其内容，用来检查网络的工作情况，或是用来发现网络程序的 bugs 。 Wireshark 是一个开放源码的网络分析系统，也是是目前最好的开放源码的网络协议分析器，支持 Unix Linux 和 Windows 平台。由于 Wireshark 是 Open Source ，更新快，支持的协议多，特别是数据包过滤功能灵活强大。 Wireshark 提供了对 TCP 、 UDP 、 SMB 、 telnet 和 ftp 等常用协议的支持。它在很多情况下可以代替价格昂贵的 Sniffer 。 安装好后，双击桌面上的 Wireshark 图标，运行软件。再捕捉数据包之前，首先要对捕获的条件进行设置。点击工具栏里的“Capture à Options”，（图一）或者直接点击快捷按钮（图二），打开选项设置页面（图三）。
计算机网络实验指导书
目录 实验一Wireshark的安装与使用 (3) 实验二使用Wireshark分析以太网帧与ARP协议 (7) 实验三使用Wireshark分析IP协议 (11) 实验四利用Wireshark分析ICMP (19) 实验五使用Wireshark分析UDP协议 (25) 实验六使用Wireshark分析TCP协议 (29) 实验七利用Wireshark分析协议HTTP (35) 实验八利用Wireshark分析DNS协议 (40) 实验九使用Wireshark分析FTP协议(选作) (44) 实验十使用Wireshark分析SMTP与POP3协议(选作) (48)
实验一Wireshark的安装与使用 一、实验目的 1、熟悉并掌握Wireshark的基本使用; 2、了解网络协议实体间进行交互以及报文交换的情况。 二、实验环境 与因特网连接的计算机,操作系统为Windows,安装有Wireshark、IE等软件。 三、预备知识 要深入理解网络协议,需要观察它们的工作过程并使用它们,即观察两个协议实体之间交换的报文序列,探究协议操作的细节,使协议实体执行某些动作,观察这些动作及其影响。这种观察可以在仿真环境下或在因特网这样的真实网络环境中完成。 观察正在运行的协议实体间交换报文的基本工具被称为分组嗅探器(packet sniffer),又称分组捕获器。顾名思义,分组嗅探器捕获(嗅探)您的计算机发送与接收的报文。 图1显示了一个分组嗅探器的结构。 图1 图1右边就是计算机上正常运行的协议与应用程序(如:Web浏览器与FTP客户端)。分组嗅探器(虚线框中的部分)主要有两部分组成:第一就是分组捕获器,其功能就是捕获计算机发送与接收的每一个链路层帧的拷贝;第二个组成部分就是分组分析器,其作用就是分析并显示协议报文所有字段的内容(它能识别目前使用的各种网络协议)。 Wireshark就是一种可以运行在Windows, UNIX, Linux等操作系统上的分组嗅探器,就是一个开源免费软件,可以从、wireshark、org下载。
第 3 章用户界面 . 须知 现在您已经安装好了Wireshark,几乎可以马上捕捉您的一个包。紧接着的这一节我们将会介绍：Wireshark的用户界面如何使用 如何捕捉包 如何查看包 如何过滤包 ……以及其他的一些工作。 . 启动Wireshark 你可以使用Shell命令行或者资源管理器启动Wireshark. 提示 开始Wireshark 时您可以指定适当的参数。参见 第节“从命令行启动Wireshark” 注意 在后面的章节中，将会出现大量的截图，因为Wireshark运行在多个平台，并且支持多个GUI Toolkit2x),您的屏幕上显示的界面可能与截图不尽吻合。但在功能上不会有实质性区别。尽管有这些区别，也不会导致理解上的困难。 . 主窗口 先来看看图“主窗口界面”，大多数打开捕捉包以后的界面都是这样子（如何捕捉/打开包文件随后提到）。 图 . 主窗口界面 和大多数图形界面程序一样，Wireshark主窗口由如下部分组成：
1.菜单（见第节“主菜单”）用于开始操作。 2. 主工具栏(见第节“"Main"工具栏”)提供快速访问菜单中经常用到的项目的功能。 3.Fiter toolbar/过滤工具栏(见第节“"Filter"工具栏”)提供处理当前显示过滤得方法。(见:”浏览时进行过滤”) 4.Packet List面板（见第节“"Pcaket List"面板”）显示打开文件的每个包的摘要。点击面板中的单独条目，包 的其他情况将会显示在另外两个面板中。 5.Packet detail面板（见第节“"Packet Details"面板”）显示您在Packet list面板中选择的包德更多详情。 6.Packet bytes面板（见第节“"Packet Byte"面板”）显示您在Packet list面板选择的包的数据，以及在Packet details 面板高亮显示的字段。 7.状态栏（见第节“状态栏”）显示当前程序状态以及捕捉数据的更多详情。 注意 主界面的三个面版以及各组成部分可以自定义组织方式。见第节“首选项” 3.3.1. 主窗口概述 Packet list和Detail 面版控制可以通过快捷键进行。表“导航快捷键”显示了相关的快捷键列表。表“"GO"菜单项”有关于快捷键的更多介绍 表 . 导航快捷键 快捷键描述 Tab,Shift+Tab在两个项目间移动，例如从一个包列表移动到下一个 Down移动到下一个包或者下一个详情 Up移动到上一个包或者上一个详情 Ctrl-Down,F8移动到下一个包，即使焦点不在Packet list面版 Ctrl-UP,F7移动到前一个报，即使焦点不在Packet list面版 Left在Pactect Detail面版，关闭被选择的详情树状分支。如果以关闭，则返回到父分支。 Right在Packet Detail面版，打开被选择的树状分支. Backspace Packet Detail面版，返回到被选择的节点的父节点 Return,Enter Packet Detail面版，固定被选择树项目。 另外，在主窗口键入任何字符都会填充到filter里面。 . 主菜单 Wireshark主菜单位于Wireshark窗口的最上方。图“主菜单”提供了菜单的基本界面。 图 . 主菜单 主菜单包括以下几个项目: File 包括打开、合并捕捉文件，save/保存,Print/打印,Export/导出捕捉文件的全部或部分。以及退出Wireshark项.见第节“"File"菜单” Edit 包括如下项目：查找包，时间参考，标记一个多个包，设置预设参数。（剪切，拷贝，粘贴不能立即执行。）见第节“"Edit"菜单” View 控制捕捉数据的显示方式，包括颜色，字体缩放，将包显示在分离的窗口，展开或收缩详情面版的地树状节点，……见第节“"View"菜单” GO 包含到指定包的功能。见第节“"Go"菜单”
实验一wireshark抓包工具使用[实验目的] 学习wireshark抓包工具的使用 了解wireshark抓包工具的功能 通过学习，进一步理解协议及网络体系结构思想 [实验原理] Wireshark是网络包分析工具。网络包分析工具的主要作用是尝试捕获网络包，并尝试显示包的尽可能详细的情况。 主要应用： 网络管理员用来解决网络问题 网络安全工程师用来检测安全隐患 开发人员用来测试协议执行情况 用来学习网络协议 [实验内容] 下载WIRESHARK，学习工具的使用和功能。
Wireshark 是网络包分析工具。网络包分析工具的主要作用是尝试捕获网络包，并尝试显示包的尽可能详细的情况。 你可以把网络包分析工具当成是一种用来测量有什么东西从网线上进出的测量工具，就好像使电工用来测量进入电信的电量的电度表一样。（当然比那个更高级） 过去的此类工具要么是过于昂贵，要么是属于某人私有，或者是二者兼顾。 Wireshark出现以后，这种现状得以改变。 Wireshark可能算得上是今天能使用的最好的开元网络分析软件。 工作流程 （1）确定Wireshark的位置。如果没有一个正确的位置，启动Wireshark后会花费很长的时间捕获一些与自己无关的数据。 （2）选择捕获接口。一般都是选择连接到Internet网络的接口，这样才可以捕获到与网络相关的数据。否则，捕获到的其它数据对自己也没有任何帮助。 （3）使用捕获过滤器。通过设置捕获过滤器，可以避免产生过大的捕获文件。这样用户在分析数据时，也不会受其它数据干扰。而且，还可以为用户节约大量的时间。 （4）使用显示过滤器。通常使用捕获过滤器过滤后的数据，往往还是很复杂。为了使过滤的数据包再更细致，此时使用显示过滤器进行过滤。 （5）使用着色规则。通常使用显示过滤器过滤后的数据，都是有用的数据包。如果想更加突出的显示某个会话，可以使用着色规则高亮显示。 （6）构建图表。如果用户想要更明显的看出一个网络中数据的变化情况，使用图表的 形式可以很方便的展现数据分布情况。
Wireshark使用教程 第 1 章介绍 1.1. 什么是Wireshark Wireshark 是网络包分析工具。网络包分析工具的主要作用是尝试捕获网络包，并尝试显示包的尽可能详细的情况。 你可以把网络包分析工具当成是一种用来测量有什么东西从网线上进出的测量工具，就好像使电工用来测量进入电信的电量的电度表一样。（当然比那个更高级） 过去的此类工具要么是过于昂贵，要么是属于某人私有，或者是二者兼顾。 Wireshark出现以后，这种现状得以改变。Wireshark可能算得上是今天能使用的最好的开元网络分析软件。 1.1.1. 主要应用 下面是Wireshark一些应用的举例： ?网络管理员用来解决网络问题 ?网络安全工程师用来检测安全隐患 ?开发人员用来测试协议执行情况 ?用来学习网络协议 除了上面提到的，Wireshark还可以用在其它许多场合。 1.1. 2. 特性 ?支持UNIX和Windows平台 ?在接口实时捕捉包 ?能详细显示包的详细协议信息 ?可以打开/保存捕捉的包 ?可以导入导出其他捕捉程序支持的包数据格式 ?可以通过多种方式过滤包 ?多种方式查找包 ?通过过滤以多种色彩显示包 ?创建多种统计分析 ?…还有许多 不管怎么说，要想真正了解它的强大，您还得使用它才行
图 1.1. Wireshark捕捉包并允许您检视其内 1.1.3. 捕捉多种网络接口 Wireshark 可以捕捉多种网络接口类型的包，哪怕是无线局域网接口。想了解支持的所有网络接口类型，可以在我们的网站上找到https://www.doczj.com/doc/4d11224288.html,/CaptureSetup/NetworkMedia. 1.1.4. 支持多种其它程序捕捉的文件 Wireshark可以打开多种网络分析软件捕捉的包，详见??? 1.1.5. 支持多格式输出 Wieshark可以将捕捉文件输出为多种其他捕捉软件支持的格式，详见??? 1.1.6. 对多种协议解码提供支持 可以支持许多协议的解码(在Wireshark中可能被称为解剖)??? 1.1.7. 开源软件 Wireshark是开源软件项目，用GPL协议发行。您可以免费在任意数量的机器上使用它，不用担心授权和付费问题，所有的源代码在GPL框架下都可以免费使用。因为以上原因，人们可以很容易在Wireshark上添加新的协议，或者将其作为插件整合到您的程序里，这种应用十分广泛。 1.1.8. Wireshark不能做的事 Wireshark不能提供如下功能 ?Wireshark不是入侵检测系统。如果他/她在您的网络做了一些他/她们不被允许的奇怪的事情，Wireshark不会警告您。但是如果发生了奇怪的事情，Wireshark可能对察看发生了什么会有所帮助。[3]?Wireshark不会处理网络事务，它仅仅是“测量”(监视)网络。Wireshark不会发送网络包或做其它交互性的事情（名称解析除外，但您也可以禁止解析）。 1.2. 系通需求
Wireshark Lab: DHCP Version: 2.0 ? 2007 J.F. Kurose, K.W. Ross. All Rights Reserved Computer Networking: A Top-down Approach, 4th edition. In this lab, we’ll take a quick look at DHCP. Recall that DHCP is used extensively in corporate, university and home-network wired and wireless LANs to dynamically assign IP addresses to hosts (as well as to configure other network configuration information). This lab is brief, as we’ll only examine the DHCP packets captured by a host. If you also have administrative access to your DHCP server, you may want to repeat this lab after making some configuration changes (such as the lease time). If you have a router at home, you most likely can configure your DHCP server. Because many linux/Unix machines (especially those that serve many users) have a static IP address and because manipulating DHCP on such machines typically requires super-user privileges, we’ll only present a Windows version of this lab below. DHCP Experiment In order to observe DHCP in action, we’ll perform several DHCP-related commands and capture the DHCP messages exchanged as a result of executing these commands. Do the following1: 1.Begin by opening the Windows Command Prompt application (which can be found in your Accessories folder). As shown in Figure 1, enter “ipconfig /release”. The executable for ipconfig is in C:\windows\system32. This command releases your current IP address, so that your host’s IP address becomes 0.0.0.0. 1If you are unable to run Wireshark live on a computer, you can download the zip file https://www.doczj.com/doc/4d11224288.html,/wireshark-labs/wireshark-traces.zip and extract the file dhcp-ethereal-trace-1. The traces in this zip file were collected by Wireshark running on one of the author’s computers, while performing the steps indicated in the Wireshark lab. Once you have downloaded the trace, you can load it into Wireshark and view the trace using the File pull down menu, choosing Open, and then selecting the dhcp-ethereal-trace-1 trace file. You can then use this trace file to answer the questions below.
【实用技巧】wireshark过滤抓包与过滤查看在分析网络数据和判断网络故障问题中，都离不开网络协议分析软件（或叫网络嗅探器、抓包软件等等）这个“利器”，通过网络协议分析软件我们可以捕获网络中正常传输哪些数据包，通过分析这些数据包，我们就可以准确地判断网络故障环节出在哪。网络协议分析软件众多，比如ethereal（wireshark的前身),wireshark,omnipeek,sniffer,科来网络分析仪（被誉为国产版sniffer，符合我们的使用习惯）等等，本人水平有限，都是初步玩玩而已，先谈谈个人对这几款软件使用感受，wireshark（ethereal）在对数据包的解码上，可以说是相当的专业，能够深入到协议的细节上，用它们来对数据包深入分析相当不错，更重要的是它们还是免费得，但是用wireshark（ethereal）来分析大量数据包并在大量数据包中快速判断问题所在，比较费时间，不能直观的反应出来，而且操作较为复杂。像omnipeek,sniffer,科来网络分析仪这些软件是专业级网络分析软件，不仅仅能解码（不过有些解码还是没有wireshark专业），还能直观形象的反应出数据情况，这些软件会对数据包进行统计，并生成各种各样的报表日志，便于我们查看和分析，能直观的看到问题所在，但这类软件是收费，如果想感受这类专业级的软件，我推荐玩科来网络分析仪技术交流版，免费注册激活，但是只能对50个点进行分析。废话不多说，下面介绍几个wireshark使用小技巧，说的不好，还请各位多指点批评。 目前wireshark最新版本是1.7的，先简单对比下wireshark的1.6和1.7版本。 下面是wireshark的1.6版本的界面图：
第 1 章介绍 1.1. 什么是Wireshark Wireshark 是网络包分析工具。网络包分析工具的主要作用是尝试捕获网络包，并尝试显示包的尽可能详细的情况。 你可以把网络包分析工具当成是一种用来测量有什么东西从网线上进出的测量工具，就好像使电工用来测量进入电信的电量的电度表一样。（当然比那个更高级） 过去的此类工具要么是过于昂贵，要么是属于某人私有，或者是二者兼顾。 Wireshark出现以后，这种现状得以改变。Wireshark可能算得上是今天能使用的最好的开元网络分析软件。 1.1.1. 主要应用 下面是Wireshark一些应用的举例： ?网络管理员用来解决网络问题 ?网络安全工程师用来检测安全隐患 ?开发人员用来测试协议执行情况 ?用来学习网络协议 除了上面提到的，Wireshark还可以用在其它许多场合。 1.1. 2. 特性 ?支持UNIX和Windows平台 ?在接口实时捕捉包 ?能详细显示包的详细协议信息 ?可以打开/保存捕捉的包 ?可以导入导出其他捕捉程序支持的包数据格式 ?可以通过多种方式过滤包 ?多种方式查找包 ?通过过滤以多种色彩显示包 ?创建多种统计分析 ?…还有许多 不管怎么说，要想真正了解它的强大，您还得使用它才行 图 1.1. Wireshark捕捉包并允许您检视其内
1.1.3. 捕捉多种网络接口 Wireshark 可以捕捉多种网络接口类型的包，哪怕是无线局域网接口。想了解支持的所有网络接口类型，可以在我们的网站上找到https://www.doczj.com/doc/4d11224288.html,/CaptureSetup/NetworkMedia. 1.1.4. 支持多种其它程序捕捉的文件 Wireshark可以打开多种网络分析软件捕捉的包，详见??? 1.1.5. 支持多格式输出 Wieshark可以将捕捉文件输出为多种其他捕捉软件支持的格式，详见??? 1.1.6. 对多种协议解码提供支持 可以支持许多协议的解码(在Wireshark中可能被称为解剖)??? 1.1.7. 开源软件 Wireshark是开源软件项目，用GPL协议发行。您可以免费在任意数量的机器上使用它，不用担心授权和付费问题，所有的源代码在GPL框架下都可以免费使用。因为以上原因，人们可以很容易在Wireshark上添加新的协议，或者将其作为插件整合到您的程序里，这种应用十分广泛。 1.1.8. Wireshark不能做的事 Wireshark不能提供如下功能 ?Wireshark不是入侵检测系统。如果他/她在您的网络做了一些他/她们不被允许的奇怪的事情，Wireshark不会警告您。但是如果发生了奇怪的事情，Wireshark可能对察看发生了什么会有所帮助。[3]?Wireshark不会处理网络事务，它仅仅是“测量”(监视)网络。Wireshark不会发送网络包或做其它交互性的事情（名称解析除外，但您也可以禁止解析）。 1.2. 系通需求 想要安装运行Wireshark需要具备的软硬件条件... 1.2.1. 一般说明 ?给出的值只是最小需求，在大多数网络中可以正常使用，但不排除某些情况下不能使用。[4] ?在繁忙的网络中捕捉包将很容塞满您的硬盘！举个简单的例子：在100MBIT/s全双工以太网中捕捉数据将会产生750MByties/min的数据！在此类网络中拥有高速的CPU，大量的内存和足够的磁盘空间是十分有必要的。 ?如果Wireshark运行时内存不足将会导致异常终止。可以在 https://www.doczj.com/doc/4d11224288.html,/KnownBugs/OutOfMemory察看详细介绍以及解决办法。 ?Wireshark作为对处理器时间敏感任务，在多处理器/多线程系统环境工作不会比单独处理器有更快的速度，例如过滤包就是在一个处理器下线程运行，除了以下情况例外：在捕捉包时“实时更新包列表”，此时捕捉包将会运行在一个处理下，显示包将会运行在另一个处理器下。此时多处理或许会有所帮助。[5] 1.2.2. Microsoft Windows ?Windows 2000,XP Home版,XP Pro版,XP Tablet PC，XP Media Center, Server 2003 or Vista(推荐在XP下使用) ?32-bit奔腾处理器或同等规格的处理器（建议频率：400MHz或更高）,64-bit处理器在WoW64仿真环境下-见一般说明 ?128MB系统内存（建议256Mbytes或更高） ?75MB可用磁盘空间（如果想保存捕捉文件，需要更多空间） 800*600（建议1280*1024或更高）分辨率最少65536(16bit)色，(256色旧设备安装时需要选择”legacy GTK1”) ?网卡需求： o以太网：windows支持的任何以太网卡都可以 o无线局域网卡：见MicroLogix support list, 不捕捉802.11包头和无数据桢。 o其它接口见：https://www.doczj.com/doc/4d11224288.html,/CaptureSetup/NetworkMedia
Wireshark Lab: HTTP Version: 2.0 (Sept. 2009) ? 2009 J.F. Kurose, K.W. Ross. All Rights Reserved Computer Networking: A Top- down Approach, 5th edition . Having gotten our feet wet with the Wireshark packet sniffer in the introductory lab, we’re now ready to use Wireshark to investigate protocols in operation. In this lab, we’ll explore several aspects of the HTTP protocol: the basic GET/response interaction, HTTP message formats, retrieving large HTML files, retrieving HTML files with embedded objects, and HTTP authentication and security. Before beginning these labs, you might want to review Section 2.2 of the text. 1. The Basic HTTP GET/response interaction Let’s begin our exploration of HTTP by downloading a very simple HTML file - one that is very short, and contains no embedded objects. Do the following: 1. Start up your web browser. 2. Start up the Wireshark packet sniffer, as described in the Introductory lab (but don’t yet begin packet capture). Enter “http” (just the letters, not the quotation marks) in the display-filter-specification window, so that only captured HTTP messages will be displayed later in the packet-listing window. (We’re only interested in the HTTP protocol here, and don’t want to see the clutter of all captured packets). 3. Wait a bit more than one minute (we’ll see why shortly), and then begin Wireshark packet capture. 4. Enter the following to your browser https://www.doczj.com/doc/4d11224288.html,/wireshark-labs/HTTP-wireshark-file1.html Your browser should display the very simple, one-line HTML file. 5. Stop Wireshark packet capture. Your Wireshark window should look similar to the window shown in Figure 1. If you are unable to run Wireshark on a live network connection, you can download a packet trace that was created when the steps above were followed.1 1 Download the zip file https://www.doczj.com/doc/4d11224288.html,/wireshark-labs/wireshark-traces.zip and extract the file http-ethereal-trace-1. The traces in this zip file were collected by Wireshark running on one of the author’s
关于Wireshark的基础使用说明 （仅供内部使用）
修订记录
目录 1案例描述 (2) 2案例分析 (2) 3解决过程 (2) 4解决结果 (25)
关键词： Wireshark、显示过滤、捕获过滤、抓包文件保存、音视频动态载荷、QoS设置确认 摘要： 本文简要说明了Wireshark的基本使用方法，如捕获过滤条件的设置、显示过滤条件的设置以及根据显示内容保存抓包文件的方法，并列举了一些我们目前常用的过滤条件的描述方法，同时还简单说明了一些通过抓包文件我们可以了解的一些内容。
1 案例描述 由于目前关于抓包工具的说明只有一些比较深入的，相对比较适合研发人员学习使用的文档，对于新入职的测试人员查看这类文档会感觉无从入手。 2 案例分析 新入职的测试人员原来对视频会议系统本身就了解不深，再加上对网络协议也只是一些表面上的学习、了解，而以前可能从未使用过此类工具，因此，他们首先需要了解的是此工具的基本使用，而不是对码流的深入分析，只有了解了此工具的基本使用方法，才可以使其在使用的过程中深入学习、了解该工具的使用。 3 解决过程 基于上述考虑我将针对Wireshark的基本使用在此进行说明，方便初次使用Wireshark的人员进行学习。 鉴于大家都是学计算机的我相信对于此软件的安装都是没有问题的，只需双击安装包即可，安装完成后，直接打开Wireshark，界面如下：
选择“Capture Options…”就会弹出抓包的选项如下： 在此需要选择要使用的网卡，例如我的是“Broadcom NetLink（TM）Giabit Ethernet Driver （Microsoft’s Packet Scheduler）”，然后点击“Start”就开始抓包，点击“Stop”就停止抓包。