Linux下Wireshark的网络抓包使用方法(怎样用wireshark对tcp进行抓包)

本文目录：

1、Linux下Wireshark的网络抓包使用方法 2、怎样使用wireshark来抓取数据包 3、如何用wireshark对tcp进行抓包

Linux下Wireshark的网络抓包使用方法

 最佳答案：

      Wireshark是世界上最流行的网络分析工具。这个强大的工具可以捕捉网络中的数据，并为用户提供关于网络和上层协议的各种信息。

      与很多其他网络工具一样，Wireshark也使用pcap network library来进行封包捕捉。

      Wireshark的优势：

      - 安装方便。

      - 简单易用的界面。

      - 提供丰富的功能。

      Wireshark目前世界上最受欢迎的协议分析软件，利用它可将捕获到的各种各样协议的网络二进制数据流翻译为人们容易读懂和理解的文字和图表等形式，极大地方便了对网络活动的监测分析和教学实验。它有十分丰富和强大的统计分析功能，可在Windows，Linux 和UNIX等系统上运行。此软件于1998年由美国Gerald Combs首创研发，原名Ethereal，至今世界各国已有100多位网络专家和软件人员正在共同参与此软件的升级完善和维护。它的名称于2006年5月由原Ethereal改为Wireshark。至今它的更新升级速度大约每2～3个月推出一个新的版本，2007年9月时的版本号为0.99.6。但是升级后软件的主要功能和使用方法保持不变。它是一个开源代码的免费软件，任何人都可自由下载，也可参与共同开发。

      Wireshark网络协议分析软件可以十分方便直观地应用于计算机网络原理和网络安全的教学实验，网络的日常安全监测，网络性能参数测试，网络恶意代码的捕获分析，网络用户的行为监测，黑客活动的追踪等。因此它在世界范围的网络管理专家，信息安全专家，软件和硬件开发人员中，以及美国的一些知名大学的网络原理和信息安全技术的教学、科研和实验工作中得到广泛的应用。

      在安装新旧版本软件包和使用中，Ethereal与Wireshark的一些细微区别：

      （1）Ethereal软件安装包中包含的网络数据采集软件是winpcap 3.0的版本，保存捕获数据时只能用英文的文件名，文件名默认后缀为 .cap

      （2）Wireshark软件安装包中，目前包含的网络数据采集软件是winpcap 4.0版本，保存捕获数据时可以用中文的文件名，文件名默认后缀为 .pcap。另外，Wireshark可以翻译解释更多的网络通信协议数据，对网络数据流具有更好的统计分析功能，在网络安全教学和日常网络监管工作中使用更方便，而基本使用方法仍然与Ethereal相同。

      winpcap(windows packet capture)是windows平台下一个免费，公共的网络访问系统。开发winpcap这个项目的目的在于为win32应用程序提供访问网络底层的能力。

      在Linux下，当我们需要抓取网络数据包分析时，通常是使用tcpdump抓取网络raw数据包存到一个文件，然后下载到本地使用wireshark界面网络分析工具进行网络包分析。

      最近才发现，原来wireshark也提供有Linux命令行工具-tshark。tshark不仅有抓包的功能，还带了解析各种协议的能力。下面我们以两个实例来介绍tshark工具。

      1、安装方法

      CentOS:

      复制代码代码:yum install -y wireshark

      Ubuntu:

      复制代码代码:apt-get install -y tshark

      2、实时打印当前http请求的url(包括域名)

      复制代码代码:

      tshark -s 512 -i eth0 -n -f tcp dst port 80 -R http.host and http.request.uri -T fields -e http.host -e http.request.uri -l tr -d

      下面介绍参数含义：

      -s 512 :只抓取前512个字节数据

      -i eth0 :捕获eth0网卡

      -n :禁止网络对象名称解析

      -f ‘tcp dst port 80′ :只捕捉协议为tcp,目的端口为80的数据包

      -R ‘http.host and http.request.uri’ :过滤出http.host和http.request.uri

      -T fields -e http.host -e http.request.uri :打印http.host和http.request.uri

      -l ：输出到标准输出

      3、实时打印当前mysql查询语句

      复制代码代码:

      tshark -s 512 -i eth0 -n -f tcp dst port 3306 -R mysql.query -T fields -e mysql.query

      下面介绍参数含义：

      -s 512 :只抓取前512个字节数据

      -i eth0 :捕获eth0网卡

      -n :禁止网络对象名称解析

      -f ‘tcp dst port 3306′ :只捕捉协议为tcp,目的端口为3306的数据包

      -R ‘mysql.query’ :过滤出mysql.query

      -T fields -e mysql.query :打印mysql查询语句

      tshark使用-f来指定捕捉包过滤规则，规则与tcpdump一样，可以通过命令man pcap-filter来查得。

      tshark使用-R来过滤已捕捉到的包，与界面版wireshark的左上角Filter一致。

怎样使用wireshark来抓取数据包

下载wireshark软件，目前有中文版，为了方便演示，就用中文版的。当然，英文版本的是主流。
打开wireshark软件，运行该软件，进入其界面。wireshark软件的界面布局合理，很精简。
接下来，要选择wireshark的抓包接口。双击接口列表项，于是进入了抓包接口的设置界面。
选择你的电脑现在所使用的网卡。比如，现在这里是使用无线网卡，接口列表上有数字在跳动就是。
点击开始，就进入到抓包的界面，于是开始进行抓包。该界面显示了抓包的动态，记录了抓包的过程。
抓包完成后，就点击停止抓包的按钮，就是红色打叉的那个。
最后选择保存按钮，选择保存的位置。保存的文件以后都可以用wireshark打开，来进行历史性的分析。

如何用wireshark对tcp进行抓包

这个问题比较简单就可以实现，首先，你要先在交换机上镜像出来一组你需要监控的数据。
然后，打开wireshark，选择列出抓包接口，选择要抓包的接口，
这时候别点开始，点倒数第二个按钮，【选项】。
在出来的窗口里面，双击你刚才选中接口，又弹出一个窗口，
这时候，在最下面填上过滤条件【tcp】，
点击【确定】。
然后点击下面的【开始】，
就可以了，抓出来的包全是tcp的。
如果抓之前，你没过滤，已经把所有的包都抓出来了，
这时候，把数据包打开，在最上面的过滤条件里面输入tcp，就可以了。
过滤条件有很多命令格式，多记住几个经常用的就可以了。