wireshark簡(jiǎn)單運(yùn)用筆記（四）

前面說(shuō)了不少對(duì)wireshark的簡(jiǎn)單操作，這里我們說(shuō)說(shuō)如何分析在wireshark中捕獲的數(shù)據(jù)包。

首先是我們耳熟能聞的TCP流數(shù)據(jù)包，我們都知道，要建立TCP連接必須經(jīng)過(guò)三次握手的規(guī)則，那么，它在wireshark如何體現(xiàn)出來(lái)呢？我們又如何在wireshark中捕獲的數(shù)據(jù)包看出三次握手呢？

我們來(lái)看看下面這張圖中的數(shù)據(jù)：

編號(hào)44的數(shù)據(jù)包時(shí)192.168.1.4在50734端口向74.125.128.199請(qǐng)求建立TCP連接，51號(hào)數(shù)據(jù)包回應(yīng)了該請(qǐng)求，同時(shí)74.125.128.199也向192.168.1.4的50734端口請(qǐng)求建立TCP連接，52號(hào)數(shù)據(jù)包中192.168.1.4回應(yīng)了該請(qǐng)求，此時(shí)，整個(gè)TCP連接三次握手完成，雙方成功建立了TCP連接，這從54號(hào)數(shù)據(jù)包的內(nèi)容可以看出。

我們還可以對(duì)TCP數(shù)據(jù)包進(jìn)行跟蹤，右鍵單擊其中一個(gè)TCP數(shù)據(jù)包，選擇Follow TCP Stream，在彈出的窗口中我們就可以清晰的看到該TCP數(shù)據(jù)包的流動(dòng)信息。

從圖中，我們可以清晰看到源地址（192.168.1.104）向目標(biāo)地址（65.55.57.27）發(fā)送了一個(gè)GET請(qǐng)求，而這個(gè)GET請(qǐng)求所包含的信息則是紅色字體部分內(nèi)容，而藍(lán)色字體內(nèi)容則是響應(yīng)這個(gè)請(qǐng)求，并返回一些信息。通過(guò)這個(gè)，我們可以更清晰的了解到該TCP流包的作用。

接下來(lái)我們來(lái)看看ICMP包又是怎樣的：

我們?cè)O(shè)置規(guī)則只抓取ICMP包，然后ping任意一個(gè)網(wǎng)站，這里以百度為例。第一個(gè)數(shù)據(jù)包是源主機(jī)192.168.1.4向目標(biāo)機(jī)即百度115.239.    210.26（百度的其中一個(gè)IP）的ICMP請(qǐng)求，第二個(gè)數(shù)據(jù)包則是百度該IP對(duì)192.168.1.4的ICMP請(qǐng)求的回應(yīng)。這是最簡(jiǎn)單的ICMP包，同時(shí)也是ping命令執(zhí)行的原理。該圖中一共進(jìn)行了4次ping請(qǐng)求和回應(yīng)，這是最典型的window系統(tǒng)的ping命令（linux的ping命令默認(rèn)沒(méi)有次數(shù)限制，會(huì)不斷執(zhí)行，而window的則默認(rèn)只執(zhí)行4次）。