⑴ wireshark是干什么用的
Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。网络封包[分析软件的功能可想像成 "电工技师使用电表来量测电流、电压、电阻" 的工作 – 只是将场景移植到网络上，并将电线替换成网络线。在过去，网络封包分析软件是非常昂贵，或是专门属于营利用的软件。Ethereal的出现改变了这一切。在GNUGPL通用许可证的保障范围底下，使用者可以以免费的代价取得软件与其源代码，并拥有针对其源代码修改及客制化的权利。Ethereal是目前全世界最广泛的网络封包分析软件之一。工作流程：（1）确定Wireshark的位置。如果没有一个正确的位置，启动Wireshark后会花费很长的时间捕获一些与自己无关的数据。（2）选择捕获接口。一般都是选择连接到Internet网络的接口，这样才可以捕获到与网络相关的数据。否则，捕获到的其它数据对自己也没有任何帮助。（3）使用捕获过滤器。通过设置捕获过滤器，可以避免产生过大的捕获文件。这样用户在分析数据时，也不会受其它数据干扰。而且，还可以为用户节约大量的时间。（4）使用显示过滤器。通常使用捕获过滤器过滤后的数据，往往还是很复杂。为了使过滤的数据包再更细致，此时使用显示过滤器进行过滤。（5）使用着色规则。通常使用显示过滤器过滤后的数据，都是有用的数据包。如果想更加突出的显示某个会话，可以使用着色规则高亮显示。（6）构建图表。如果用户想要更明显的看出一个网络中数据的变化情况，使用图表的形式可以很方便的展现数据分布情况。（7）重组数据。Wireshark的重组功能，可以重组一个会话中不同数据包的信息，或者是一个重组一个完整的图片或文件。由于传输的文件往往较大，所以信息分布在多个数据包中。为了能够查看到整个图片或文件，这时候就需要使用重组数据的方法来实现。
⑵ 关于WireShark所保存文件格式
winpcap库自己的格式，在wireshark网站上有详细说明。也就是文件头+(包头+包内容）。。。这种格式。读取的话，用winpcap开发包就可以读取了。
⑶ Wireshark如何生成抓包文件
Wireshark 一般在抓包的时候无需过滤，直接在数据分析时候过滤出来你想要的数据就成了。1.具体为->Interface->(选择你的网卡)start这时候数据界面就显示了当前网卡的所有数据和协议了。2.下来就是找到我们想要的数据 教你一些技巧，比如我们要找ip地址为192.168.2.110的交互数据 可以在 Filter:里面填写 ip.addr == 192.168.2.110 （回车或者点Apply就OK） 如果我们只想抓TCP的 ip.addr == 192.168.2.110 && tcp (注意要小写) 如果不想看到ACK ip.addr == 192.168.2.110 && tcp && tcp.len != 0 如果要看数据包中含有5252的值的数据（注意此处为16进制） ip.addr == 192.168.2.110 && tcp && tcp.len != 0 && (data.data contains 5252)3. 含有很多过滤方法可以点击Express，里面有一些选项，自己多试试。 用好一个工具很重要，但要长期的积累才行，自己多使用，多看点教程就OK。希望对你有用！
⑷ wireshark快速指南
学过网络的同学都知道，互联网信息的传递都是通过网络数据包来完成的。那么抓取网络数据包对于我们学习网络知识，查找网络问题甚至逆向工程都是至关重要的。 现在本文以Linux 下版本号为1.10.14的wireshark向大家介绍。 wireshark是一款开源的，支持多种操作系统，多种网络协议的抓包工具。它简单容易上手，并且说明文档齐全（官网有详尽的guide book）。 下面跟其他常见的抓包工具进行对比： 注意：只要将手机网络连接到安装了wireshark的主机上（比如开热点wifi），就可以抓到手机上的数据包，而不一定要在手机上安装抓包工具 主要介绍两个页面，一个是起始页，一个是包列表页。起始页展示了接口列表（网卡，蓝牙，USB等数据端口），捕获选项以及一些帮助信息。点击开始捕获包后就会进入包列表页，包列表页展示捕获到的包，选中包对应的协议信息及其原始十六进制数据 起始页展示了可供抓包的接口列表，选中想要捕获的接口开始抓包。捕获选项里可以设置捕获过滤规则以及捕获停止条件。 进行捕获后，会出现三个栏目：数据包列表栏目，包协议信息栏目，包字节信息栏目。我们可以通过数据包列表找到想要的某个数据包，鼠标选中后，在包协议信息栏目分析该包的协议信息，如果想要知道某个字节的含义则在包字节信息栏目分析。注意在数据包列表栏目上方有个Filter 输入框，这里我们可以输入显示过滤表达式，过滤掉数据包列表中一些不需要展示的数据包。 3.1.1 从文件导入 数据包已经被抓取并导出到文件，此时我们只需用wireshark导入此捕获文件即可获取之前捕获的数据包。文件的格式有很多种，可以导入tcpmp导出的捕获文件。有趣的是，也可以导入png,jpg等格式的图片以及mp4等格式的视频文件，导入后可以看到图片和视频也是一个个数据包组成的，图片渐近式展示以及视频不需完全加载就可播放等特性估计跟这有关。 3.1.1 实时抓取 选择特定接口，点击start按钮后，即开始实时抓取。 一般地，接口的数据包数量庞大并且各个包之间的关联性不强。我们想要得到特定的数据包就必须过滤无关的数据包，从而快速的进行分析。wireshark过滤方式有两种，第一种是捕获过滤，这种过滤是捕获阶段进行，它只捕获未被过滤的数据包，这样可以减少抓取数据包的数量。第二种是显示过滤，这种过滤在分析阶段进行，它在捕获的数据包基础上进行过滤。 3.2.1 捕获过滤 过滤语法 一般格式： [not] primitive [and|or [not] primitive …] primitive 一般由type，dir，proto这三类限定符组成 3.2.2 显示过滤 过滤语法 一般格式： （过滤字段 比较操作符 value） 组合表达式 （过滤字段 比较操作符 value）… 3.3.1 追踪数据流 将数据包进行关联，可通过某个数据包即可关联到该数据包传输链的所有数据包，比如可以通过一个tcp数据包可关联到这个tcp会话的所有数据包。 操作：鼠标点击数据包列表栏的某个数据包->右键->Follow TCP Stream(Follow UDP Stream，Follow SSL Stream) 3.3.2 端点 端点在不同的协议层有不同的含义，在网络层，特定IPv4，IPv6地址为一个端点，在数据运输层，特定TCP端口，UDP端口为一个端点。端点这个页面为我们展示每个端点的数据包发送和接收情况。 操作：Statistics->Endpoints 3.3.3 对话 对话页面展示两个端点之间的包传输情况。端点在不同协议层有不同含义，对话也一样。在网络层，对话是两个IP之间进行，在数据传输层，对话在两个端口之间进行。 操作：Statistics->Conversations 3.3.4 流量图 流量图使用图形化展示了数据包的抓取情况。 操作：Statistics->IO Graphs 3.3.5 协议分层 协议分层页面将抓取到数据包按网络协议进行了分类，我们可以看到每个网络层抓取包的情况。 操作：Statistics->Protocol Hierarchy Statistics 3.3.6 专家信息 wireshark 帮我们分析了数据包情况，通过专家信息页面提示网络中出现的问题，它将数据包分为4个等级（Error，Warnings，Notes，Chats），从左至右问题严重程度依次减少，Chats是正常的数据包。Error表示可能导致问题的数据包。 操作：Analyze->Expert Infos 一般地，如果不设置静态MAC–>IP对应表，机器都会发送arp请求来获得其他机器的mac地址。 如此，我们只需要在显示过滤器输入 arp 即可获得apr数据包。捕获信息见下图：wireshark官方文档
