Wireshark入门指南：网络流量分析利器

Wireshark入门指南

大家好，我是John Strand。在本视频中，我们将学习如何使用Wireshark。

Wireshark与TCPDump非常相似，实际上很多人更喜欢使用Wireshark。但我认为它们是两个完全不同的工具。TCPDump非常适合创建脚本和在系统上进行大规模数据包捕获，而Wireshark则更适合通过完整的GUI界面进行系统分析。

开始使用Wireshark

我们再次使用Security Onion，因为它对网络取证非常有用。感谢Doug Burks和他的团队。

1. 进入应用程序 > 互联网 > 选择Wireshark
2. Wireshark会列出系统上的所有接口（类似于TCPDump的-D选项）
3. 选择接口时会提示需要root权限，因此我们使用sudo wireshark命令启动

基本功能演示

• 双击ens33接口即可开始嗅探该接口的流量
• 发送ping到8.8.8.8时，可以在Wireshark中看到ICMP回显请求
• 选择任意数据包可以查看十六进制解码
  • 高亮显示特定部分会在中间窗口显示解码内容
  • 可以查看MAC地址、有效载荷等信息

高级分析功能

1. 打开保存的数据包文件：

   • 文件 > 打开 > 选择pcap文件
   • 可以分析来自受感染系统的数据包捕获

2. 跟踪TCP流：

   • 右键数据包 > 跟踪TCP流
   • 可以清晰查看两个系统之间的通信内容
   • 对于HTTP等明文协议，可以直接查看传输内容

3. 统计功能：

   • 端点统计：查看所有通信端点
   • 会话统计：查看IP地址之间的数据量
   • 协议层次统计：分析使用的协议类型
   • HTTP会话统计：查看HTTP请求

总结

Wireshark是网络分析和故障排除的强大工具。通过Security Onion发行版可以方便地使用Wireshark，它也支持Mac和Windows平台。本文只是入门介绍，更多高级功能等待您去探索！

提示：想从John Strand那里学习更多技能？可以查看他的课程：SOC核心技能、主动防御与网络欺骗、BHIS和MITRE ATT&CK安全入门、渗透测试入门等。
更多精彩内容 请关注我的个人公众号 公众号（办公AI智能小助手）
公众号二维码