Wiresahrk基本概念

Wireshark 是網(wǎng)絡(luò)包分析工具（流量分析、協(xié)議分析、數(shù)據(jù)包分析、網(wǎng)絡(luò)竊聽等），主要作用是嘗試捕獲網(wǎng)絡(luò)包， 并嘗試顯示數(shù)據(jù)包盡可能詳細的情況
Wireshark不會處理網(wǎng)絡(luò)事務(wù)，它僅僅是“測量”(監(jiān)視)網(wǎng)絡(luò)

Wireshark是開源軟件項目,不用擔心授權(quán)和付費問題

Wiresahrk簡史
1997年以后，Gerald Combs 需要一個工具追蹤網(wǎng)絡(luò)問題并想學習網(wǎng)絡(luò)知識，他開始開發(fā)Ethereal
Ethereal是第一版，經(jīng)過數(shù)次開發(fā)，停頓，1998年，經(jīng)過這么長的時間，補丁，Bug報告，以及許多的鼓勵，0.2.0版誕生了。Ethereal就是以這種方式成功的
此后不久，Gilbert Ramirez發(fā)現(xiàn)它的潛力，并為其提供了底層分析
1998年10月，Guy Harris正尋找一種比TcpView更好的工具，他開始為Ethereal進行改進，并提供分析
1998年以后，正在進行TCP/IP教學的Richard Sharpe 關(guān)注了它在這些課程中的作用。并開始研究該軟件是否他所需要的協(xié)議。如果不行，新協(xié)議支持應該很方便被添加，他開始從事Ethereal的分析及改進。
從那以后，幫助Ethereal的人越來越多，他們的開始幾乎都是由于一些尚不被Ethereal支持的協(xié)議，所以他們拷貝了已有的解析器，并為團隊提供了改進回饋
2006年項目Moved House（這句不知道怎么翻譯）并重新命名為：Wireshark.

Wiresahrk結(jié)構(gòu)

GTK1/2:圖像處理工具，處理用戶的輸入輸出顯示
Core:核心引擎，通過函數(shù)調(diào)用將其他模塊連接在一起，起到聯(lián)動調(diào)度的作用
Wiretap:格式支持，從抓包文件中讀取數(shù)據(jù)包，支持多種文件格式
Capture:捕包引擎，利用libpcap/WinPcap從底層抓取網(wǎng)絡(luò)數(shù)據(jù)包，提供了通用的抓包接口，能從不能類型的網(wǎng)絡(luò)接口獲取數(shù)據(jù)包
Win-/libpcap:Wireshark抓包時依賴的庫文件

Wireshark使用WinPCAP作為接口，直接與網(wǎng)卡進行數(shù)據(jù)報文交換，不會對網(wǎng)絡(luò)封包產(chǎn)生內(nèi)容的修改，它只會反映出目前流通的封包資訊。 Wireshark本身也不會送出封包至網(wǎng)絡(luò)上

網(wǎng)絡(luò)嗅探器工作原理
收集：從網(wǎng)卡上收集二進制信息（將網(wǎng)卡設(shè)置成混雜模式,，抓包工具默認設(shè)置）
轉(zhuǎn)換：將捕獲的二進制信息轉(zhuǎn)換成可讀形式
分析：對捕獲和轉(zhuǎn)換后的數(shù)據(jù)進行分析

混雜端口：是指一臺機器能夠接收所有數(shù)據(jù)流，不論其目的地址是不是它，主用于診斷網(wǎng)絡(luò)問題

抓包前提需要將網(wǎng)卡設(shè)為混雜模式

抓包原理：
1、抓包本地網(wǎng)卡進出網(wǎng)絡(luò)流量，針對自己網(wǎng)卡不能針對整個局域網(wǎng)
2、集線器網(wǎng)絡(luò)，集線器是網(wǎng)絡(luò)層設(shè)備，不學習數(shù)據(jù)包，廣播所有接口（已經(jīng)很少有這種環(huán)境）
3、鏡像端口，將數(shù)據(jù)拷貝一份到一個端口，交換機為二層設(shè)備，第一次廣播，第二次學習地址轉(zhuǎn)發(fā)
4、交換機有個弊端，第一次都需要廣播地址學習MAC地址才能轉(zhuǎn)發(fā)，這種方式易被人利用
5、ARP欺騙

端口鏡像注意：在進行多個端口同時鏡像到一個端口的時候注意單個端口的流量負載能力

相關(guān)文檔

《wireshark數(shù)據(jù)包分析實戰(zhàn)》第二版Chris Sanders
《wireshark網(wǎng)絡(luò)分析》第二版Laura Chappell
《TCP/IP協(xié)議棧詳解卷一》W.Richard Stevens
相關(guān)網(wǎng)站
https://www.wireshark.org
https://www.wiresharkbook.com
https://wiki.wiresharkbook.com

sniffer

fiddler、httpwatch針對http協(xié)議