wireshark抓包工具是一款網(wǎng)絡(luò)協(xié)議分析器，為用戶實(shí)時(shí)檢測(cè)網(wǎng)絡(luò)的通訊數(shù)據(jù)，同時(shí)支持抓取數(shù)據(jù)快照的功能，可以通過頁面瀏覽而分析每一層詳細(xì)數(shù)據(jù)內(nèi)容，下載完成后呈現(xiàn)出中文版軟件，廣大用戶放心下載使用，更多精彩軟件盡在極光下載站！

wireshar中文版簡(jiǎn)介

-wireshark（前稱ethereal）是一個(gè)網(wǎng)絡(luò)封包分析軟件。網(wǎng)絡(luò)封包分析軟件的功能是擷取網(wǎng)絡(luò)封包，并盡可能顯示出最為詳細(xì)的網(wǎng)絡(luò)封包資料。wireshark使用winpcap作為接口，直接與網(wǎng)卡進(jìn)行數(shù)據(jù)報(bào)文交換。

-網(wǎng)絡(luò)封包分析軟件的功能可想像成 &電工技師使用電表來量測(cè)電流、電壓、電阻& 的工作 - 只是將場(chǎng)景移植到網(wǎng)絡(luò)上，并將電線替換成網(wǎng)絡(luò)線。在過去，網(wǎng)絡(luò)封包分析軟件是非常昂貴的，或是專門屬于盈利用的軟件。ethereal的出現(xiàn)改變了這一切。在gnugpl通用許可證的保障范圍底下，使用者可以以免費(fèi)的代價(jià)取得軟件與其源代碼，并擁有針對(duì)其源代碼修改及客制化的權(quán)利。ethereal是目前全世界最廣泛的網(wǎng)絡(luò)封包分析軟件之一。

抓包教程：

wireshark 開始抓包

開始界面

wireshark是捕獲機(jī)器上的某一塊網(wǎng)卡的網(wǎng)絡(luò)包，當(dāng)你的機(jī)器上有多塊網(wǎng)卡的時(shí)候，你需要選擇一個(gè)網(wǎng)卡。

點(diǎn)擊Caputre->Interfaces.. 出現(xiàn)下面對(duì)話框，選擇正確的網(wǎng)卡。然后點(diǎn)擊&Start&按鈕, 開始抓包

軟件特點(diǎn)

-wireshark抓包工具擁有許多強(qiáng)大的特性

包含有強(qiáng)顯示過濾器語言(rich display filter language)和查看tcp會(huì)話重構(gòu)流的能力

-它更支持上百種協(xié)議和媒體類型

擁有一個(gè)類似tcpdump(一個(gè)linux下的網(wǎng)絡(luò)協(xié)議分析工具)的名為tethereal的的命令行版本

在過去，網(wǎng)絡(luò)封包分析軟件是非常昂貴，或是專門屬于營利用的軟件

-ethereal的出現(xiàn)改變了這一切

在gnu gpl通用許可證的保障范圍底下，使用者可以以免費(fèi)的代價(jià)取得軟件與其程式碼，并擁有針對(duì)其原始碼修改及客制化的權(quán)利。ethereal是目前全世界廣泛運(yùn)用的網(wǎng)絡(luò)封包分析軟件之一。

工作流程

（1）確定wireshark的位置。如果沒有一個(gè)正確的位置，啟動(dòng)wireshark后會(huì)花費(fèi)很長的時(shí)間捕獲一些與自己無關(guān)的數(shù)據(jù)。

（2）選擇捕獲接口。一般都是選擇連接到internet網(wǎng)絡(luò)的接口，這樣才可以捕獲到與網(wǎng)絡(luò)相關(guān)的數(shù)據(jù)。否則，捕獲到的其它數(shù)據(jù)對(duì)自己也沒有任何幫助。

（3）使用捕獲過濾器。通過設(shè)置捕獲過濾器，可以避免產(chǎn)生過大的捕獲文件。這樣用戶在分析數(shù)據(jù)時(shí)，也不會(huì)受其它數(shù)據(jù)干擾。而且，還可以為用戶節(jié)約大量的時(shí)間。

（4）使用顯示過濾器。通常使用捕獲過濾器過濾后的數(shù)據(jù)，往往還是很復(fù)雜。為了使過濾的數(shù)據(jù)包再更細(xì)致，此時(shí)使用顯示過濾器進(jìn)行過濾。

（5）使用著色規(guī)則。通常使用顯示過濾器過濾后的數(shù)據(jù)，都是有用的數(shù)據(jù)包。如果想更加突出的顯示某個(gè)會(huì)話，可以使用著色規(guī)則高亮顯示。

（6）構(gòu)建圖表。如果用戶想要更明顯的看出一個(gè)網(wǎng)絡(luò)中數(shù)據(jù)的變化情況，使用圖表的形式可以很方便的展現(xiàn)數(shù)據(jù)分布情況。

（7）重組數(shù)據(jù)。wireshark的重組功能，可以重組一個(gè)會(huì)話中不同數(shù)據(jù)包的信息，或者是一個(gè)重組一個(gè)完整的圖片或文件。由于傳輸?shù)奈募^大，所以信息分布在多個(gè)數(shù)據(jù)包中。為了能夠查看到整個(gè)圖片或文件，這時(shí)候就需要使用重組數(shù)據(jù)的方法來實(shí)現(xiàn)。

安裝步驟

1、在本站下載新版的wireshark安裝包，雙擊運(yùn)行，打開wireshark安裝向?qū)?，如下圖所示：

2、閱讀軟件協(xié)議，同意協(xié)議即可，點(diǎn)擊next按鈕：

3、選擇安裝組件，默認(rèn)勾選即可，點(diǎn)擊next：

4、選擇附加任務(wù)，默認(rèn)勾選即可，如下圖所示，點(diǎn)擊next:

5、按照提示點(diǎn)擊下一步即可，直至如下界面，可以點(diǎn)擊【browse】來定義軟件的安裝位置。默認(rèn)安裝在c盤，建議您單擊browse按鈕自定義安裝路徑：

6、準(zhǔn)備安裝，點(diǎn)擊intall：

7、點(diǎn)擊install開始安裝，該軟件安裝可能需要幾分鐘，請(qǐng)耐心等待。

8、安裝完畢會(huì)有提示，點(diǎn)擊【finish】即可使用軟件啦。

過濾規(guī)則詳解

wireshark過濾器有兩種：

一種是顯示過濾器，就是主界面上那個(gè)，用來在捕獲的記錄中找到所需要的記錄

一種是捕獲過濾器，用來過濾捕獲的封包，以免捕獲太多的記錄。 在capture -> capture filters 中設(shè)置

保存過濾

在filter欄上，填好filter的表達(dá)式后，點(diǎn)擊save按鈕， 取個(gè)名字。比如&filter 102&,

filter欄上就多了個(gè)&filter 102& 的按鈕。

wireshark過濾表達(dá)式的規(guī)則

表達(dá)式規(guī)則

1. 協(xié)議過濾

比如tcp，只顯示tcp協(xié)議。

2. ip 過濾

比如 ip.src ==192.168.1.102 顯示源地址為192.168.1.102，

ip.dst==192.168.1.102, 目標(biāo)地址為192.168.1.102

3. 端口過濾

tcp.port ==80, 端口為80的

tcp.srcport == 80, 只顯示tcp協(xié)議的愿端口為80的。

4. http模式過濾

http.request.method==&get&, 只顯示http get方法的。

5. 邏輯運(yùn)算符為 and/ or

常見問題

一、wireshark可以使用哪些設(shè)備來捕獲數(shù)據(jù)包?

答：wireshark可以讀取以太網(wǎng)，令牌環(huán)，fddi，串行(ppp和slip)的實(shí)時(shí)數(shù)據(jù)(如果它運(yùn)行的操作系統(tǒng)允許wireshark這樣做)，802.11無線局域網(wǎng)(如果它運(yùn)行的操作系統(tǒng)允許wireshark)要做到這一點(diǎn))，atm連接(如果它運(yùn)行的操作系統(tǒng)允許wireshark這樣做)，以及最近版本的libpcap在linux上支持的“任何”設(shè)備。

二、當(dāng)我嘗試運(yùn)行wireshark時(shí)，為什么會(huì)出現(xiàn) sprint_realloc_objid未定義?

答： wireshark只能與版本4.2.2或更高版本的ucd snmp鏈接。你的wireshark版本與這種版本的ucd snmp動(dòng)態(tài)鏈接; 但是，您安裝了較舊版本的ucd snmp，這意味著當(dāng)運(yùn)行wireshark時(shí)，它會(huì)嘗試鏈接到舊版本，并失敗。您必須使用4.2.2版或更高版本替換該版本的ucd snmp。

三、wireshark怎么注釋數(shù)據(jù)包?

1、進(jìn)行打開電腦中的wireshark的軟件應(yīng)用。

2、在wireshark抓取到的數(shù)據(jù)包的中，進(jìn)行右鍵所選中的數(shù)據(jù)包。

3、這樣就會(huì)彈出了下拉菜單中，進(jìn)行選擇為菜單中的“packet comment”

4、這樣就會(huì)彈出了packet comment的一個(gè)窗口的界面中，在輸入框中進(jìn)行輸入需要注釋的內(nèi)容。

5、可以在下框中，顯示一個(gè)綠色，進(jìn)行選中該注釋的。這樣顯示的是該注釋的內(nèi)容了。

四、wireshark數(shù)據(jù)包怎么打印?

1、在數(shù)據(jù)包中列表中當(dāng)中，進(jìn)行選中一個(gè)數(shù)據(jù)包，然后進(jìn)行點(diǎn)擊菜單中的“file”的選項(xiàng)。

2、這樣就會(huì)彈出了下拉菜單中，進(jìn)行選擇為”print“的選項(xiàng)。

3、這樣就會(huì)彈出了一個(gè)print的選項(xiàng)，只打印一個(gè)數(shù)據(jù)包，進(jìn)行勾選上selected packet only。

4、然后在進(jìn)行選擇為了打印的名稱，來打印數(shù)據(jù)包的內(nèi)容。

5、由于這個(gè)只演示打印到電腦中文件中，進(jìn)行取電腦的名稱。

6、然后在電腦中的路徑中找到該文件，打開該數(shù)據(jù)包，就可查看數(shù)據(jù)包內(nèi)容。

wireshark和winpcap哪個(gè)比較好用?有什么區(qū)別?

-winpcap是用于網(wǎng)絡(luò)封包抓取的一套工具，可適用于32位或64位的操作平臺(tái)上解析網(wǎng)絡(luò)封包，包含了核心的封包過濾，一個(gè)底層動(dòng)態(tài)鏈接庫，和一個(gè)高層系統(tǒng)函數(shù)庫，及可用來直接存取封包的應(yīng)用程序界面。

-winpcap是一個(gè)免費(fèi)公開的軟件系統(tǒng)。它用于windows系統(tǒng)下的直接的網(wǎng)絡(luò)編程。

-大多數(shù)網(wǎng)絡(luò)應(yīng)用程序訪問網(wǎng)絡(luò)是通過廣泛使用的套接字。這種方法很容易實(shí)現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)傳輸，因?yàn)椴僮飨到y(tǒng)負(fù)責(zé)底層的細(xì)節(jié)(比如協(xié)議棧，數(shù)據(jù)流組裝等)以及提供了類似于文件讀寫的函數(shù)接口。

-但是有時(shí)，簡(jiǎn)單的方法是不夠的。因?yàn)橐恍?yīng)用程序需要一個(gè)底層環(huán)境去直接操縱網(wǎng)絡(luò)通信。因此需要一個(gè)不需要協(xié)議棧支持的原始的訪問網(wǎng)絡(luò)的方法

-wireshark(前稱ethereal)是一個(gè)網(wǎng)絡(luò)封包分析軟件。網(wǎng)絡(luò)封包分析軟件的功能是擷取網(wǎng)絡(luò)封包，并盡可能顯示出更為詳細(xì)的網(wǎng)絡(luò)封包資料。

-網(wǎng)絡(luò)封包分析軟件的功能可想像成 &電工技師使用電表來量測(cè)電流、電壓、電阻& 的工作 - 只是將場(chǎng)景移植到網(wǎng)絡(luò)上，并將電線替換成網(wǎng)絡(luò)線。

-在過去，網(wǎng)絡(luò)封包分析軟件是非常昂貴，或是專門屬于營利用的軟件。ethereal的出現(xiàn)改變了這一切。在gnugpl通用許可證的保障范圍底下，使用者可以以免費(fèi)的代價(jià)取得軟件與其源代碼，并擁有針對(duì)其源代碼修改及客制化的權(quán)利。ethereal是目前全世界廣泛運(yùn)用的網(wǎng)絡(luò)封包分析軟件之一。

小編總結(jié)：兩者功能不盡相同，用戶可根據(jù)自己實(shí)際需求進(jìn)行選擇。歡迎來極光下載站挑選下載。

更新日志：

v4.4.1版本

一、漏洞修補(bǔ)

1、已修復(fù)以下漏洞：

wnpa-2024-12年12月ITS解剖器墜毀。

wnpa-sec-2024-13 AppleTalk和RELOAD幀解析器崩潰。

2、已修復(fù)以下錯(cuò)誤：

實(shí)時(shí)捕獲期間刷新界面會(huì)導(dǎo)致界面處理損壞。

為Thread和UASIP注冊(cè)的媒體類型“應(yīng)用程序/八位字節(jié)流”。

添加新界面時(shí)，Extcap工具欄停止工作。

解碼錯(cuò)誤ITS CPM版本2.1.1。

4.3.0中的構(gòu)建錯(cuò)誤：sync_pipe_run_command_actual錯(cuò)誤：參數(shù)2為null，但相應(yīng)的大小參數(shù)3值為512004[-Werror=nonull]Issue

html2text.py不處理標(biāo)簽。

NetFlow v8 TOS AS聚合解析不正確。

Windows軟件包不附帶IP地址插件。

O_PATH是Linux和FreeBSD特有的。

Wireshark 4.4.0沒有在正確的目錄中安裝USBcap USBcapCMD.exe。

如果ASN.1 SEQUENCE定義包括擴(kuò)展標(biāo)記但沒有可選項(xiàng)，OER解析器將不考慮前導(dǎo)碼。

藍(lán)牙經(jīng)典L2CAP無連接接收信道解析錯(cuò)誤。

配置文件自動(dòng)切換過濾器：從配置文件對(duì)話框打開時(shí)顯示灰色顯示過濾器表達(dá)式對(duì)話框。

Wireshark 4.4.0/macOS 14.6.1無線上網(wǎng)，如果是監(jiān)控模式。

TECMP數(shù)據(jù)類型向子解析器傳遞了太多數(shù)據(jù)。

Wireshark和tshark 4.4.0忽略命令行上指定的extcap選項(xiàng)。

由于路徑不正確，目錄組件重復(fù)，無法打開發(fā)行說明。

無法從“幫助”菜單打開“發(fā)行說明”。

如果Wireshark通過特定路徑從命令行啟動(dòng)，則沒有捕獲接口。

Wireshark 4.4.0 extcap路徑更改破壞了第三方extcap安裝程序。

Fuzz作業(yè)UTF-8編碼問題：Fuzz-2024-09-10-7618.pcap。

無法創(chuàng)建大于99個(gè)大小單位的文件。

在macOS 15.0上打開Wireshark 4.4.0會(huì)斷開iPhone鏡像。

4.4.0中L2 IEC 61850 GOOSE數(shù)據(jù)包的PRP預(yù)告片未顯示(在4.2.7中工作)

GUI延遲，因?yàn)镹etworkManager不斷關(guān)閉802.11監(jiān)視器模式。

通過獲取藍(lán)牙應(yīng)用程序進(jìn)程id時(shí)出錯(cuò)。

Fuzz工作聲明：randpkt-2024-10-05-7200.pcap。

二、新功能和更新功能

僅轉(zhuǎn)儲(chǔ)具有特定前綴的字段的TShark語法已從-G字段前綴更改為-G字段前綴。這允許tshark-G字段再次支持指定要使用的配置文件。

三、新協(xié)議支持

1、此版本中沒有新協(xié)議。

2、更新的協(xié)議支持

AppleTalk、ARTNET、BGP、BT L2CAP、CIGI、CIP Motion、CoAP、COSE、DISTCC、DMP、以太網(wǎng)OAM PDU、F5 FILEINFO、GIOP、GOOSE、GSM管理、GSM SIM、GTP、HTTP、HTTP2、ID3v2、IDN、IEEE 1609.2、IEEE 802.11、IPPUSB、iRDMA、ISystemActivator、ITS、Kerberos、LwM2M TLV、MMS、MQ、MySQL、NCP SSS、NetFlow、OER、OWAMP、QNET、RELOAD成幀、RTCP、RTLS、SANE、SMB2、SSyncP、Sysdig Event、T.124、TECMP、Thread、Thrift，以及TWAMP

3、新的和更新的捕獲文件支持

BLF、CLLOG、CommView、ERF和pcap

4、更新的文件格式解碼支持

此版本中沒有更新的文件格式支持。