《IP网络抓包工具简明用户手册.ppt》由会员分享，可在线阅读，更多相关《IP网络抓包工具简明用户手册.ppt（20页珍藏版）》请在三一办公上搜索。
1、IP网络抓包工具简明用户手册,基于WireShark工具的使用李潘迅2010-04-28,WireShark简介非混杂模式下抓包混杂模式下抓包如何抓取特定的数据包如何从已抓捕的数据中快速查找特定数据包,WireShark简介,一款开源的非常专业的网络抓包及分析工具！官方网站：http:/www.wireshark.org/也可从我们的FTP服务器下载，路径为：/Upload/网络抓包工具,非混杂模式下抓包,非混杂模式指：WireShark只抓取指定网卡上的发出与接收的数据包，与指定网卡无关的数据包将被忽略。使用方法见下一页,混杂模式下抓包,混杂模式指：WireShark能够抓取主机所在局域网内
2、的全部网络包，即局域网内其他主机之间的通信数据包也能被抓获，我们经常使用此模式。使用方法见下一页,如何抓取特定的数据包,当用户抓包时，WireShark提供了一个过滤机制，用于过滤用户不关注的数据包。用户需设置过滤表达式（满足此表达式的数据包才被捕获），其格式为：not primitive and|or not primitive：表示中括号内的内容为可选项and：表示逻辑与，and两端必须全部为真or：表示逻辑或，or两端只要有一个为真not：表示逻辑非，not右端为假|：表示二选一：表示尖括号内的内容为必选项：表示大括号内的内容为可重复0至无数次的项primitive：表示原语，其定义见下
3、一页,primitive有许多形式：src|dst host host表示抓取主机host上的网络包src表示host为数据发送端dst表示host为数据接收端如果不指定src或dst，表示host既是发送端也是接收端tcp|udp src|dst port tcp表示抓tcp包udp表示抓udp包port表示抓端口为port的包其他的与前一个primitive类同更多的形式参考WireShark使用手册,常用的过滤表达式1,src host 192.168.22.122表示只抓取从192.168.22.122发出来的包dst host 192.168.22.122表示只抓取发往192.168
4、.22.122的包host 192.168.22.122表示即抓取发往192.168.22.122的包也抓取从192.168.22.122发出来的包,常用的过滤表达式2,udp port 2002表示只抓取源端口或目的端口为2002的UDP包portrange 2001-2020表示只抓取源端口或目的端口在2001,2020闭区间内的UDP包dst host 192.168.22.122 and dst udp port 2002表示只抓取发往192.168.22.122:2002的UDP包,更多的过滤表达式,参考：http:/wiki.wireshark.org/CaptureFilters
5、,如何从已抓捕的数据中快速查找特定数据包,当用户已经抓捕了大量的网络包，如果要在之中查找某个特定的包，不可能一个一个的去检查，WireShark为用户提供了另一个过滤机制，下图为某用户已经抓取了大量的数据包：,如果该用户想查找 目的端口等于8888，且源IP为192.168.22.105的 UDP包时，用如下过滤表达式：udp.port=8888 and ip.src=192.168.22.105见下图：,查找数据包时的过滤表达式,参考1：http:/wiki.wireshark.org/DisplayFilters参考2：WireShark自带的用户手册再填写表达式时，用户输入小数点后，WireShark会自动显示一个列表，供用户选择，如下图：udp.port：udp包的源端口udp.dstport：udp包的目的端口,END,
