ip网络抓包工具简明用户手册

《ip网络抓包工具简明用户手册》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、IP网络抓包工具简明用户手册基于WireShark工具的使用李潘迅2010-04-28WireShark简介非混杂模式下抓包混杂模式下抓包如何抓取特定的数据包如何从已抓捕的数据中快速查找特定数据包WireShark简介一款开源的非常专业的网络抓包及分析工具！官方网站：http://www.wireshark.org/也可从我们的FTP服务器下载，路径为：/Upload/网络抓包工具非混杂模式下抓包非混杂模式指：WireShark只抓取指定网卡上的发出与接收的数据包，与指定网卡无关的数据包将被忽略。使用方法见下一页混杂模式下抓包混杂模式指：WireShark能够抓取主机所

2、在局域网内的全部网络包，即局域网内其他主机之间的通信数据包也能被抓获，我们经常使用此模式。使用方法见下一页如何抓取特定的数据包当用户抓包时，WireShark提供了一个过滤机制，用于过滤用户不关注的数据包。用户需设置过滤表达式（满足此表达式的数据包才被捕获），其格式为：[not]primitive{and

3、or[not]primitive}[]：表示中括号内的内容为可选项and：表示逻辑与，and两端必须全部为真or：表示逻辑或，or两端只要有一个为真not：表示逻辑非，not右端为假

4、：表示二选一<>：表示尖括号内的内容为必选项{}：表示大括号内的内容为可重复0至无数

5、次的项primitive：表示原语，其定义见下一页primitive有许多形式：[src

6、dst]hosthost表示抓取主机host上的网络包src表示host为数据发送端dst表示host为数据接收端如果不指定src或dst，表示host既是发送端也是接收端[tcp

7、udp][src

8、dst]porttcp表示抓tcp包udp表示抓udp包port表示抓端口为port的包其他的与前一个primitive类同更多的形式参考WireShark使用手册常用的过滤表达式1srchost192.168.22.122表示只抓取从192.168.22.12

9、2发出来的包dsthost192.168.22.122表示只抓取发往192.168.22.122的包host192.168.22.122表示即抓取发往192.168.22.122的包也抓取从192.168.22.122发出来的包常用的过滤表达式2udpport2002表示只抓取源端口或目的端口为2002的UDP包portrange2001-2020表示只抓取源端口或目的端口在[2001,2020]闭区间内的UDP包dsthost192.168.22.122anddstudpport2002表示只抓取发往192.168.22.122:2002的UDP包更多的过滤表达式参考

10、：http://wiki.wireshark.org/CaptureFilters如何从已抓捕的数据中快速查找特定数据包当用户已经抓捕了大量的网络包，如果要在之中查找某个特定的包，不可能一个一个的去检查，WireShark为用户提供了另一个过滤机制，下图为某用户已经抓取了大量的数据包：如果该用户想查找目的端口等于8888，且源IP为192.168.22.105的UDP包时，用如下过滤表达式：udp.port==8888andip.src==192.168.22.105见下图：查找数据包时的过滤表达式参考1：http://wiki.wireshark.org/Displa

11、yFilters参考2：WireShark自带的用户手册再填写表达式时，用户输入小数点后，WireShark会自动显示一个列表，供用户选择，如下图：udp.port：udp包的源端口udp.dstport：udp包的目的端口END