WiresShark
WireShark
分析数据包技巧
- 确定WireShark的位置【是否在公网上】
- 选择捕获接口，一般都是internet网络接口
- 使用捕获过滤器
- 使用显示过滤器【捕获后的数据包还是很复杂，用显示过滤器过滤的更加细致】
- 使用着色规则【更加突出某个会话】
- 构件图表【看一个网络的数据变化，图表方式更直接】
- 重组数据【大的文件会将信息分布在很多个数据宝忠】
工作模式
混杂模式
- 接受所有经过网卡的数据包，包括不是发给本地的数据包【即不验证MAC地址】
混杂模式的开启
普通模式
- 普通模式下只接收发给本地的数据包（包括广播包）传递给上层程序，其他的包一律丢弃
协议分析
ARP协议
ARP协议介绍
- 地址解析协议，是一个通过解析网络层地址来找寻数据链路层地址的网络传输协议，它在IPV4中很重要【ARP是通过网络地址来定位MAC地址】
ARP包内容
ARP协议工作流程
看到应答包补全了自己的MAC地址，目的地址和源地址做了替换
192.168.31.155 广播：谁有192.168.31.1的MAC地址？
192.168.31.1 应答：192.168.31.1的MAC地址是xxxxxxxx
ICMP协议
ICMP协议介绍
- 它是TCP/IP协议簇的一个子协议，用于在IP主机、路由器之间传递控制消息。控制消息是指网络通不通、主机是否可达、路由是否可用等网络本身的消息。这些控制消息虽然并不传输用户数据，但是对于用户数据的传递起着重要的作用
ICMP包内容
ICMP协议工作流程
本机发送一个ICMP Request包
接收方返回一个ICMP Reply包，包含了接收到的数据拷贝和一些其他指令
HTTP协议
TCP协议
TCP三次握手
- 第一次握手
- 第二次握手
- 第三次握手
TCP四次挥手
UDP-DNS协议
- 请求包
- 响应包
常用指令
运算符
| 比较运算符 | 逻辑运算符 | ||
|---|---|---|---|
| 运算符 | 说明 | 运算符 | 说明 |
| eq == | 等于 | and && | 逻辑与 |
| ne != | 不等于 | or || | 逻辑或 |
| gt > | 大于 | xor ^^ | 逻辑异或 |
| lt < | 小于 | not ! | 逻辑非 |
| ge >= | 大于等于 | ||
| le <= | 小于等于 | ||
常见的过滤器
协议过滤器
语法
Protocal String String Comparsion opertor Value LogicalOptions Other expression
协议 值 值 比较运算符 值 逻辑运算符 其他协议
案例
显示POST提交的数据包或者是ICMP包<br>
http.request.method=="POST" or icmp.type<br>
显示IP地址为192.168.31.135的数据包<br>
id.addr==192.168.31.135<br>
显示来自10.20.0.0/16网段数据包<bR>
ip.src=10.20.0.0/16<br>
显示主机为192.168.30.33的相关数据包<br>
ip.host==192.168.30.33<br>
显示http响应状态码为302的相关数据包<br>
http.code==302<br>
显示TCP端口号为80的数据包<br>
tcp.port==80<br>
显示目的TCP端口为80的数据包<br>
tcp.dstport==80
内容过滤器
格式
contains [包含]
案例
显示包含"http"字符串的TCP数据包<br>
tcp contains "http"<br>
显示包含主机192.168.31.5的数据包<br>
http.host contains 192.168.31.5
案例【解决服务器无法上网】
TTL
Linux默认的TTL为64，每经过一个路由节点，TTL减1，TTL为0时，说明目标不可达并返回Time to live exceeded
TTL：数据报文的生存周期
TTL的作用：防止数据包在公网无限制转发
模拟场景
修改主机 TTL 值为 1，下面的方式是我们临时修改内核参数。
echo "1" > /proc/sys/net/ipv4/ip_default_ttl
- 单独ping网关【网关：192.168.31.1】
可以ping通
- ping一个网络地址
无法ping通，并返回了Time to live exceeded
再次修改一下TTL值
echo "2" > /proc/sys/net/ipv4/ip_default_ttl
- 再次ping网络地址
- 发现虽然返回的是Time to live exceeded，但是返回的IP地址不是网关，这证明了数据包在网络中
已经到达了下一个网络设备才被丢弃，由此我们还判断出我们的运营商网关地址为 171.120.52.1 但是我们并没有到达目标主机
修改回原来的TTL值
echo "64" > /proc/sys/net/ipv4/ip_default_ttl
MTR
- 可以检测我们到达目标网络乊间的所有网络设备的网络质量，默认系统是没有安装 MTR 工具的我们手劢安装一下
apt install mtr
- 检测到达 8.8.8.8 所有节点的通信质量
mtr 8.8.8.8
- 我们可以看到从我当前主机到目标主机间经过 12 跳
浙公网安备 33010602011771号