2024wireshark工具使用手冊(cè)

wireshark工具應(yīng)用手冊(cè)

第1章介紹

目錄

I..什么是Wireshark

3

主要應(yīng)用

is觸

1.1一.4,捕捉多種網(wǎng)絡(luò)接口

心

支持名種其它程序捕捉的文件

外支持?格式輸出

盤對(duì)一種協(xié)議解碼提供支持

開(kāi)源軟件

Wireshark不佳做的小

1.2.系通需求

LLL一版說(shuō)明

L22MicrosoftWindows

123.Unix/Linux

1.3.從哪里可以得到Wireshark

l.±Wiresahrk簡(jiǎn)史

15Wireshark開(kāi)發(fā)維護(hù)

1A匯報(bào)問(wèn)胞和獲得幫助

1ALTO

1A1百科全書

1.63.FAQ

1.6.4.一件列表

1.6.5.報(bào)告問(wèn)題

1.6.6.在UNIX/Linux平臺(tái)追蹤軟件錯(cuò)誤

1.6.7.在Windows平臺(tái)迫蹤軟件錯(cuò)誤

1.1.什么是VVireshark

Wireshark是網(wǎng)絡(luò)包分析工具。網(wǎng)絡(luò)包分析工具的主要作用是宏武捕獲網(wǎng)絡(luò)包，并嘗試顯示包的盡可能詳細(xì)的情況。

你可以把網(wǎng)絡(luò)包分析工具當(dāng)成是?種用來(lái)測(cè)量左什么東西從網(wǎng)線上進(jìn)出的測(cè)量工具，就好像便電工用來(lái)測(cè)道進(jìn)入電信的電

做的電度表一樣。（當(dāng)然比那個(gè)更高線）

過(guò)去的此類工具要么是過(guò)干吊貨,要么是屬于某人私有.或者是二者兼顧。WiirsharkH現(xiàn)以后，這種現(xiàn)狀得以改變.

Wireshark可能望得上是今天能使用的最好的開(kāi)元網(wǎng)絡(luò)分析軟件.

1.1.1.主要應(yīng)用

下面是Wireshark一些應(yīng)用的舉例：

網(wǎng)絡(luò)餌理員用來(lái)解決網(wǎng)絡(luò)網(wǎng)邃

網(wǎng)絡(luò)安全工程師用來(lái)檢測(cè)安全陷患

開(kāi)發(fā)人員用來(lái)測(cè)試協(xié)議執(zhí)行情況

用來(lái)學(xué)習(xí)網(wǎng)絡(luò)協(xié)議

除「上面提到的，Wireshark還可以用在其它許多場(chǎng)合,

1.1.2.特性

支持UNIX和Windows平臺(tái)

在接口實(shí)時(shí)捕捉包

鏈詳細(xì)顯示包的詳細(xì)協(xié)議信息

可以打開(kāi)，保存捕捉的包

可以導(dǎo)入導(dǎo)出其他捕捉程序支持的包數(shù)據(jù)格式

可以通過(guò)修種方式過(guò)油包

多種方式查找包

通過(guò)過(guò)泄以多種色彩品示包

創(chuàng)建多種統(tǒng)計(jì)分析

…還有許多

不管怎么說(shuō)，要想真正了解它的強(qiáng)大，您還得住用它才行

圖l.l.Wircshwk捕捉包并允許您檢視其內(nèi)容

1.1.3.捕捉多種網(wǎng)絡(luò)接口

Wineshark可以捕捉多種網(wǎng)絡(luò)接口類型的包，哪怕是無(wú)線局域網(wǎng)接口，想了解支持的所有網(wǎng)絡(luò)接口類型，可以在我們的網(wǎng)站

」.找到hI（D：//wiki.\vireslia/CapiurySetup'NetworkMedia.

1.1.4.支持多種其它程序捕捉的文件

Wireshark可以打開(kāi)多種網(wǎng)絡(luò)分析軟件捕捉的包，詳見(jiàn)??？

1.1.5.支持多格式輸出

Wieshark可以將捕捉文件輸出為多種其他捕捉軟件支持的格式，詳見(jiàn)??？

1.1.6.對(duì)多種協(xié)議解碼提供支持

可以支持許多協(xié)議的解碼（在Wireshark中可能被稱為解剖）??？

1.1.7.開(kāi)源軟件

Wieshark是開(kāi)源軟件項(xiàng)目，用GPLI辦議發(fā)行。您可以免費(fèi)在任意數(shù)量的機(jī)器上使用它，不用擔(dān)心授權(quán)和付費(fèi)問(wèn)題.所有的

源代碼在GPL框架下都可以免費(fèi)使用，因?yàn)橐陨显?，人們可以很容易在Wireshark上滲加新的協(xié)議，或者將其作為插件

掩合到您的程序里，這種應(yīng)用十分廣泛.

1.1.8.Wireshark不能做的事

Wireshark不能提供如下功能

Wireshark不是入侵檢測(cè)系統(tǒng).如I果他，她在您的網(wǎng)絡(luò)做了一些制她們不被允許的奇怪的事忸，Wireshark不會(huì)警告您,但是如

果發(fā)生了奇怪的事情.Wiirshark可能對(duì)察看發(fā)生了什么會(huì)有所幫助.M

Wireshark不公處理網(wǎng)絡(luò)事務(wù)?它僅僅是“測(cè)量';監(jiān)視）網(wǎng)絡(luò)。Wireshark不會(huì)發(fā)送網(wǎng)絡(luò)包或做其它交互性的事情（.名稱解析除

外，但您也可以禁止斛析）。

日譯者注：因?yàn)椴皇侨肭謾z測(cè)之用,所以不會(huì)將入侵檢測(cè)和普通通信區(qū)別對(duì)待，但是都會(huì)體現(xiàn)在網(wǎng)絡(luò)包里面.如果您有足夠

的經(jīng)臉,或許能通過(guò)監(jiān)視網(wǎng)絡(luò)包發(fā)現(xiàn)入侵檢測(cè)

1.2.系通需求

想要安裝運(yùn)行Wireshark需要具備的軟硬件條件…

1.2.1.一般說(shuō)明

給出的值只是最小需求，在大多數(shù)網(wǎng)絡(luò)中可以正常使用,但不排除某些情況下不能使用。-川

在繁忙的網(wǎng)絡(luò)中捕捉包將很容塞滿您的硬盤！舉個(gè)簡(jiǎn)單的例子：在100MBIT/S全雙工以太網(wǎng)中捕捉數(shù)據(jù)將會(huì)產(chǎn)生

750MByties/min的數(shù)據(jù)！在此類網(wǎng)絡(luò)中擁有荷速的CPU,大量的內(nèi)存和足鋤的磁盤空間是十分有必要的，

如果Wireshark運(yùn)行時(shí)內(nèi)存不足將會(huì)導(dǎo)致異常終止?？梢栽趆uM/wiki.wi心/KnownBug$，Ou【OfN1enM）rv察看詳細(xì)介紹

以及解決辦法.

Wireshark作為對(duì)處理器時(shí)間敏盛任務(wù)，在多處理㈱/多線程系統(tǒng)環(huán)境工作不會(huì)比單獨(dú)處理巖有更快的速度，例如過(guò)灌包就是

在一個(gè)處理器下線程運(yùn)行，除了以下情況例外：在捕捉包時(shí)“實(shí)時(shí)更新包列表此時(shí)捕捉包將會(huì)運(yùn)行在一個(gè)處理下，顯示

包招會(huì)運(yùn)行在另一個(gè)處理㈱F.此時(shí)多處理或許會(huì)有所幫助.SL

1.2.2.MicrosoftWindows

Windows2000.XPHome版.XPProf&.XPTabletPC,XPMediaCenter.Server2003orVista（推薦在XP下使用）

32bit奔崎處理器或同符規(guī)|名的處理器（建議姣率.400MHz或史高）.64bit處理器在W.W64仿真環(huán)境下-見(jiàn)?殷說(shuō)明

128MB系統(tǒng)內(nèi)存（建議256Mbytes或更高）

75MB可用越盤空間（如果想保存捕捉文件，需要更多空間）800*60（）（建議1280*1024或更高）分辨率最少65536（16bil）

色，（256色舊設(shè)備安袋時(shí)需要選擇“l(fā)egacyGTK1'、）

網(wǎng)卡需求：

以太網(wǎng)：windows支持的任何以太網(wǎng)卡都可以

無(wú)線局域網(wǎng)卡：見(jiàn)MicroLogixsupportlisl.不frl捉802.11包頭和無(wú)數(shù)據(jù)楨.

其它接口見(jiàn)：hUpJ/wiki.wireshark.orii/CaplureSelupJ'NclworkMedia

說(shuō)明

基于以下三點(diǎn)原因，將不會(huì)對(duì)舊版Windows提供支持：沒(méi)有任何開(kāi)發(fā)人員正在使用那些搽作系統(tǒng)，這將使支持變得更加困

槍W(xué)ireshark運(yùn)行所依槌的底文件（如GTK,WinPCap等）也放棄對(duì)它們的支持。同樣，微軟也放棄了對(duì)它們的技術(shù)支持。

Windows95.98和ME不能運(yùn)行Wireshark,已知的最后一個(gè)可以運(yùn)行在以上平臺(tái)的版本是Etherea10.99.（X需要安裝

WinPCap3.1）,你依然可以使用從：hllpWethenM/download.html獲得“順便提一卜：微軟「2006年1月11日停止.對(duì)9WME

支持.

WindowsNT4.0今后將無(wú)法運(yùn)行Wi心hark.最有一個(gè)已知版本是Wircshark0.99.4（需安裝自帶的WinPCap3.l）,你依然可以從：

hup:"prdcwnloa（Ksourccforgc.ncL''wircshark，wirc$hark-$ctup-0.99.4.cxc得到它“順f史提一,下：微軟于2005年12月31日停止對(duì)NT

4.0的支持.

WindowsCE及嵌入版windows（NT/XP）不被支持。

6+bit處理器運(yùn)行Wircshark需要在32bil仿其環(huán)發(fā)卜（稱作W（＞W(wǎng)64）.最低需要安裝WinPCap4.0.支

持多顯示（不知遒是顯示其還是監(jiān)視器）安裝，但會(huì)遇到一"不可預(yù)料的問(wèn)題.

1.2.3.Unix/Linux

Wireshark目前可以運(yùn)行在許多UNIX平臺(tái)，系統(tǒng)可以對(duì)照上面Windows下的指標(biāo).二進(jìn)制包最少在以下平臺(tái)可用：

APPIeMacOSX

DebianGNU/Linux

FrwHSn

NetBSD

OpenPKG

RedHa（Fedora^EnterpriseLinux

rPathLinux

SmSolaris/i386

SvnSolaris/Sparc

如果二進(jìn)制包在您的平臺(tái)無(wú)法使用，你可以下致源文件并嘗試編譯它。希望悠能發(fā)送郵件到

wirc3iark?de\」ATI.分享您的經(jīng)驗(yàn)。

（4|ItJl-M4.-ThebdiwMTVtheminimwnrcquircmctil*and?ai^-*rule??fthumb'*foru>ccaMmiMkraldyu>cdncf*vdi"-X."mk?ol"llwnh****'1*HPiSffiMImitUp刪"仇宣

昆?，品@培是底，人多皎情及卜班陽(yáng).何脩“的花?

⑸洋者注：我對(duì)這句話的理解是，正如播放電影一樣,高性能的處理器只會(huì)增強(qiáng)顯示效果，您并不需要將原來(lái)30分鐘的影

片10分鐘之內(nèi)看完.當(dāng)然,對(duì)減少越時(shí)還是有作用的.但是礴覺(jué)這句有點(diǎn)閱讀困難,可能翻譯的有點(diǎn)問(wèn)胭.

13從哪里可以得到Wireshark

你”J以從我們的網(wǎng)站卜我最新版本.的Wire“hurshlS："www.wir<?，;hurk.<>r&''d"wnk>ud.htmL網(wǎng)站卜.您“『以選擇適合您的鏡僧站點(diǎn)“

Wireshark通常在4-8冊(cè)內(nèi)發(fā)布一次新版本

如果您想獲得Wiehark發(fā)布的消息通知，你可以訂閱Wireshark-announce郵件列表。詳見(jiàn)第164節(jié)"郵件列發(fā)”

L4.Wiresahrk簡(jiǎn)史回

1997年以后，GeraldCombs貓要?個(gè)工具追蹤網(wǎng)絡(luò)問(wèn)題并想學(xué)習(xí)網(wǎng)絡(luò)知識(shí)。所以他開(kāi)始開(kāi)發(fā)Elhereal（Wireshark項(xiàng)目以前的

名稱）以解決以上的兩個(gè)需要.

Elhcrcal是第一版.經(jīng)過(guò)數(shù)次開(kāi)發(fā)，停頓.19閑年，經(jīng)過(guò)這么長(zhǎng)的時(shí)間，補(bǔ)「，Bug報(bào)告，以及許多的鼓勵(lì)，020版誕生了.

Ethereal就是以這種方式成功的.

此后不久,GilbertRamirez發(fā)現(xiàn)它的潛力，并為其提供了底層分析

1998年10月，GuyHarris正尋找一種比TcpVicw更好的工具,他開(kāi)始為Ethereal進(jìn)行改進(jìn),并梃供分析.

998年以后.正在進(jìn)行TCP/IP教學(xué)的RichardShaipc關(guān)注了它在這些課程中的作用.并開(kāi)始研究該軟件是否他所需要的協(xié)議.

如果小行，新協(xié)議支持應(yīng)該很方便被添加.所以他開(kāi)始從事Ethereal的分析及改進(jìn).

從那以后,幫助Ethereal的人越來(lái)越多,他們的開(kāi)始幾乎都是由干一些尚不被Ethsral支持的協(xié)議,所以他們挎貝了已有的

解析器，并為團(tuán)隊(duì)提供了改進(jìn)回饋，

2006年項(xiàng)目MovedHouse（這句不知道怎么附譯）井重新命名為：Wireshark.

⑷本段因?yàn)橛泻芏鄥f(xié)議.程序開(kāi)發(fā)方面的術(shù)語(yǔ).翻譯得比較郴糕

15.Wireshark開(kāi)發(fā)維護(hù)

Wireshark最初由GeraldCombs開(kāi)發(fā)。目前由Wircsh;irkteam進(jìn)行進(jìn)一步開(kāi)發(fā)和維護(hù)，Wiresharkteam是一個(gè)由修補(bǔ)bug提

高Wireshark功能的獨(dú)立成員組成的松散組織.

有大量的成員為Wiehark提供協(xié)議分析。同時(shí)我們也希望熄"活動(dòng)能持續(xù)機(jī)芯。通過(guò)查看Wireshark府助球單下的About.

你可以找至U為Wireshark提供代碼的人員名單，或者你也可以通過(guò)Wireshark網(wǎng)站的author頁(yè)面找到.

Wireshark是開(kāi)源軟件項(xiàng)目.發(fā)布遵循GNUGeneralPublicLicence（GPL協(xié)議）.所有源代碼可以在GPL框架下免費(fèi)使用.歡

迎您修改Wigshark以使適合您的帝要，如果缶可以提供您的改進(jìn)給Wiresharkteam,我們將不勝感激.

為WigsharkTeam提供您的改進(jìn)建議，有以下益處：

如果其他人發(fā)現(xiàn)您提供的改進(jìn)十分有用會(huì)肯定它們的價(jià)值,您將會(huì)得知你曾像Wi代sharkleam一樣招助過(guò)他人

ThedevelopersofWiresharkmightimproveyourchangesevenmore,as（here'salwaysroonfbrimprovement.Ortheymay

irrplcmcntsomeadvancedthingsontopofyourcode,whichcanbeusefulforyourselftoo.

ThemaintainersanddevelopersofWiresharkwillmaintainyourcodeaswell,fixingitwhenAPIchangesorotherchangesare

made,andgenerallykeepingitintuncwithwha.ishappeningwithWireshark.SoifWiresharkisupdated（whichisdoneoften）,

youcangetanewWiresharkversionfromthewebsiteandyourchangeswillalreadybeincludedwithoutanyeffortforyou.

Wireshar源代碼和二進(jìn)制kits（二進(jìn)制工具包？）可以根據(jù)自己的平臺(tái)對(duì)應(yīng)下故，網(wǎng)站是：

hUD：//w'w\v.wireshark.or2/download.himl.

1.6.匯報(bào)問(wèn)題和獲得幫助

如果您在使用中碰到了問(wèn)題,或者您需要Wireshark的幫助，有以下幾種可能讓您有興趣的方法（當(dāng)然,還包括這本書）.

1.6.1.網(wǎng)站

通過(guò)訪問(wèn)hllp:，'/www.wircshark.or即你將公發(fā)現(xiàn)關(guān)于Wireshark許多有用的信息。

1.6.2.百科全書

WiresharkWiki（hurx"wiki.wire$hark.orM提供廣泛的跟Wiivshark以及捕捉包有關(guān)信息。你將會(huì)發(fā)現(xiàn)?些沒(méi)有被包括在本書內(nèi)

信息,例如：wiki上有解稗如何在交換網(wǎng)絡(luò)捕捉包，同時(shí)我們正努力建立協(xié)議參考，等等。

燃好的事情是，如果時(shí)某些知識(shí)有獨(dú)到見(jiàn)解（比如您精通某種協(xié)議），您可以通過(guò)瀏覽器編輯它。

1.6.3.FAQ

最經(jīng)常被問(wèn)到的問(wèn)題“FrequencyAskedQueslions”提供一個(gè)經(jīng)常被問(wèn)到的問(wèn)題以及答案的列表。

ReadTheFAQ

在在發(fā)送U何郵件到郵件列衣之前，確信但已經(jīng)閱諛了「AQ,因?yàn)橛嚴(yán)锩婧芸赡芗航?jīng)提

供了您想問(wèn)的問(wèn)煙，答案。這將大大節(jié)約您的時(shí)間（記住，有很多人提交r大量的郵件）。

1.6.4.郵件列表

下面的幾個(gè)幾個(gè)郵件列表，分別屬于不同的主題：

X^reshark-users

這是一個(gè)Wieshark用戶的列表,大家提交關(guān)于安裝和使用Wireshark的何時(shí),其它人（非常.有用）提供的答案.（譯者注：

其他人當(dāng)然也是指用戶？）

wireshark-announce

這是一,個(gè)關(guān)于程序發(fā)布信息的列衣，通常每48周出現(xiàn)一次。

wireshark-dev

這是一個(gè)關(guān)于Wircshark開(kāi)發(fā)的郵件列表，如果開(kāi)始開(kāi)發(fā)協(xié)議分析，可以從加入該列表

你可以通過(guò)網(wǎng)站httW/www.wgharkQH；訂閱每個(gè)郵件列表.簡(jiǎn)單點(diǎn)擊網(wǎng)站左手邊的覘件列表璉接就可以.郵件同樣在網(wǎng)站上

可以看到存檔.

提示

你可以搜索存檔看看有沒(méi)有人問(wèn)過(guò)跟你一樣的問(wèn)題，或許您的問(wèn)時(shí)己經(jīng)有了答案。這樣

您就不必提交郵件以等待別人答或您了.

1.6.5.報(bào)告問(wèn)題

注意

在您提交任何問(wèn)超之前，請(qǐng)確定您安裝的是最新版本的Wireshark,當(dāng)

您提交問(wèn)的的時(shí)候，如果您提供如下信息將會(huì)對(duì)解決問(wèn)題微有幫助。

Wireshark的版本.及其依賴的庫(kù)的版本.GTK+,等等。你可以通過(guò)WircshHrk-v命令獲得版本號(hào)。（估計(jì)是UNIX?Linux

平臺(tái)）.

運(yùn)行Wircshark的平臺(tái)信息.

關(guān)于問(wèn)題的詳細(xì)描述.

如果您得到錯(cuò)誤或者警告信息，攙貝錯(cuò)誤信息例文本（以及在此之前或之后的文本，如果有的話）,這樣其他人可能會(huì)發(fā)現(xiàn)發(fā)

生問(wèn)題的地方.請(qǐng)不要發(fā)送諸如：gotawarningwhiledoingx-l7?r因?yàn)檫@樣看起來(lái)不足個(gè)好主意。

不要發(fā)送大文件

不要發(fā)送過(guò)大的文件OIOOKB）到郵件列表,在郵件中附加一個(gè)能提供足夠數(shù)據(jù)的記事

本就可以，大文件會(huì)讓很多郵件列表里的那些對(duì)您的問(wèn)題不感興趣的用戶感到惱怒,如

果需要，你可以單獨(dú)發(fā)送那些數(shù)據(jù)給對(duì)您何超真正感興黜，要求您發(fā)送數(shù)推的人.

不要發(fā)送機(jī)密信息！

如果您發(fā)送捕捉數(shù)據(jù)到郵件列表，請(qǐng)確定它們不包含敏監(jiān)或者機(jī)密信,息，比如密碼或者

諸如此類的.

1.6.6.在UNIX/Linux平臺(tái)追蹤軟件錯(cuò)誤

如果您發(fā)送捕捉數(shù)據(jù)到戚什列衣,請(qǐng)確定它們不包含嫉?；蛘吲苄畔?比如客碼或者諸如此類的。

你可以通過(guò)如下命令獲得追蹤信息：

Sgdb'whereiswire-shark|cut-f2-11:|cut-d''-12'core>&bt.txt

backtrace

$

注意

在逐字輸入第一行的字符！嘰

注意

追蹤是一個(gè)GDB命令。你可以在輸完第一上以后輸入它,但是會(huì)沒(méi)有相應(yīng)，人口命》

(CTL+D)將會(huì)退出GDB命令.以上命令讓你在當(dāng)前日錄得到一個(gè)名為bt.txt的文本文件，

它包含您的bug報(bào)告。

注意

如果您缺少GDB.您必須檢查您的操作系統(tǒng)的調(diào)試器：你

uf以發(fā)送追蹤眥件到\vi3hark-dev[AT|wireshark.on!郵件列表

1.6.7.在Windows平臺(tái)追蹤軟件錯(cuò)誤

Windows下無(wú)法包含符號(hào)文件(.pdb),它們非常大。因此不太可能創(chuàng)建十分有意義的迫蹤文件。你將匯報(bào)軟件錯(cuò)誤就像前面描

述的其他問(wèn)題一樣,(這句不盡人意)

卬洋者注：那句話的意思是，我在XX時(shí)碰到?個(gè)警告信息

㈤彳ITM：耽*兄：FpcZcMrKWEiBlhc(irMIZMrrtKWiE!Thc*?』rrudri6dlerv:ThiMCiirvkKkTkMhcrv'%?0是”么二&第左Ltnvx

第2章編譯/安裝Wireshark

目錄

2.1.須知

22孩得源

2.3.住UNIX下安裝之的2.4.

花UNIX卜編譯Wireshark25

在UNIX下安裝..進(jìn)制包

2.5.1.在Linux或類似環(huán)境下安裝RPM包

2.5.2.{\Mbian環(huán)境下安裝Deb包2.5.3.

在GcnlooLinux環(huán)境卜安裝Portage2.5.4.

在FreeBSD環(huán)埼卜玄裝包

26斛決UNIXE玄裝過(guò)程中的問(wèn)題

27在Windows下編譯海

28在Windows下安裝Wireshark

2.8」,安裝Wireshark

282F動(dòng)安裝WinPean

283.更新Wireshark

284.更新WinPeap

2.8.S.Wireshark

2.8.6.卸我WinPeap

2.1.須知

萬(wàn)事皆有開(kāi)頭，Wireshark也同樣如此。要想使田Wireshark,你必須：

獲得一個(gè)適合您操作系統(tǒng)的二進(jìn)制包，或者

獲得源文件為您的操作系統(tǒng)編洋。

目前，只有兩到三種Linux發(fā)行版可以傳送Wircshark,而且通常傳輸?shù)亩际沁^(guò)時(shí)的版本，至今尚未有UNIX版本可以傳輸

Wireshark.Windows的任何版本都不能傳輸Wireshark.基于以上原因，你需要知道從哪能得到最新版本的Wireshark以及如何

安笠它.

本章節(jié)向您展示如何獲得源文件和二進(jìn)制包.如何根據(jù)你的需要編譯Wireshark源文件.以

下是通常的步驟：

卜裁需要的相關(guān)包,例如：源文件或者二進(jìn)制發(fā)行版。

將源文件漏祥成一進(jìn)制包(如果您下載的是源文件的話),這樣做做可以整合編譯和/或安裝其他需要的包，

安裝二進(jìn)制包到最終目標(biāo)位置。

2.2.獲得源

你可以從Wireshark網(wǎng)站h“p:“www.wircshark,除同時(shí)獲取源文件和二進(jìn)制發(fā)行版.選擇您需要下我的錐接，然后選擇源文件

或二進(jìn)制發(fā)行包所在的饒像站點(diǎn)《盡可能忘你近一點(diǎn)的站點(diǎn)）.

下載所有需要的文件！

一股來(lái)說(shuō)，除非您已經(jīng)下載Wireshark.如果感想如譯Wireshark源文件,您可能需要卜我多

個(gè)包。這些在后面章節(jié)會(huì)提到.

注意

當(dāng)你發(fā)現(xiàn)在網(wǎng)站上有多個(gè)二進(jìn)制發(fā)行版可用,您應(yīng)該選擇適合您平臺(tái)的版本，他們同時(shí)

通常會(huì)有多個(gè)版本緊跟在當(dāng)前版本后面，那此通常時(shí)擁有那些平臺(tái)的用戶編洋的。

劉T以上原因，您可能想自己下載源文件自己編佛，因?yàn)檫@樣和對(duì)方便一點(diǎn)。

23.在UNIX下安裝之前

在輛譯或者安裝二進(jìn)制發(fā)行版之前,您必須確定已經(jīng)安裝加卜.包：

GTK+.TheGIMPToolKit.

您將公同樣需要Glib.它們都可以從www&k.uru獲得，

Libpcap.Wireshark用來(lái)捕捉包的工具

您可以從www.icpdiimD.ore獲加。

根據(jù)您操作系統(tǒng)的不同，您或許能夠安裝二進(jìn)制包，如RPMs.或許您需要獲得源文件并編譯它，

如果您已經(jīng)卜找了GTK+源文件.例2.1??從源文件編譯GTK+”提供的指令對(duì)您編譯有所幫助.

例2.1.從源文件編譯GTK+

gzip-degtk+-l.2.10.tar.gz|tarxvf-

<nuchoutputremoved〉

./configure

<nuchoutputremoved〉

makeinstall

<nuchoutputremove〉

test--

注意

您可徙需要修改例2.1,?從源文件文譯GTK+”中提供的版本號(hào)應(yīng)對(duì)應(yīng)您下載的GTK+版

本,如果GTK的目錄發(fā)生變更，您同樣需要修改它?，larxvf顯示您需要修改的目錄,注

怠

如果您使用Linux.或者安裝了GUNtar.您可以使用tarzxvn：lk+，1.2.10.tur.gz命令。同

樣也可能使用gunzipY或者*zcat而不是許多UNIX中的gzip-de

注意

如果您在windows中下載了gik+或者其他文件。您的文件可能名稱為：gik+-L2-8」ar.gz

如果在執(zhí)行例2.1”從源文件編譯GTK+'〕I?的指令時(shí)有錯(cuò)誤發(fā)生的話，你可以咨詢GTK+網(wǎng)站。

如果您已經(jīng)卜收f(shuō)libpcap趣，-?皺指令如例2.2，笫評(píng)、女裝IibpeaD”顯出的那樣會(huì)幫您茫成編坤，問(wèn)件，如果交的操作

系統(tǒng)不支持teDdumD.您可以從icDdump網(wǎng)站下我安裝它。

例2.2.編譯、安裝libpcap

gzip-delihpcap-0.9.4.tar.Z|tarxvf-

<nuchoutputremoved〉

cdlibpc叩-0.9.4

./configure

<nuchoutputrcmovcd>

make

<nuchoutputrcmovcd>

makeinstall

vnuchoutputremoved〉

注意

Libpc叩的目錄需要根據(jù)您的板本進(jìn)行修改。tarxvf命令顯示您解壓縮的目錄.

RcdHalSx及其以上版本環(huán)境卜,（包括基于它的發(fā)行版，如Mandrake）,您可以直接運(yùn)行RPM安裝所有的包.大多數(shù)侍況下

的Linux需要安裝GTK+和Glib.反過(guò)來(lái)說(shuō),你可能需要安裝所有包的定制版。安裝命令可以參考例2.3“任RedHaiLinux6.2

或齊基廣該版本得發(fā)行版卜安裝需要的RPM包“，如果您還沒(méi)有安袋，您可能需要安裝需要的RPMs。

例2.3.在RedHatl.inux6.2或者基于該版本得發(fā)行版下安裝需要的RPM包

cd/niiil/cdroin/Kedllal/RPMS

rpn-ivhglib-1.2.6-3.i386.rpm

rpn-ivhglib-dcvcl-1.2.6-3.i386.rpm

rpn-ivhgtk+-1.2.6-7.i386.rpm

rpn-ivhgtk+-devel-1.2.6-7.i386.rpm

rpn-ivhlibpcap-0.4-19.i386.rpni

注意

如果您使用RedHai6.2之后的版本，需要的RMPs包可能己經(jīng)變化。您需要使用正確的

RMPs包。

在DebiunF您可以使用apl-ge命令。apl-gel杯會(huì)為您完成所有的操作。參見(jiàn)例2.4,,在!>banF安裝Deb”

例2.4.在Deban下安裝Deb

ap<-gctinstallwireshark-dev

2.4.在UNIX下編譯Wireshark

如果在Unix操作系統(tǒng)下可以用如下步驟漏譯Wieshark源代碼：

如果使用Linux則解壓Mp，dtar文件，如果您使用UNIX.則解壓GUNtar文件。對(duì)于Linux命令如下：

tarzxvfwireshark-0.99.5-tar.gz

對(duì)于UNIX版本，命令如下

gzip-dwireshark-0.99.5-tar.gz

larxvfwireshark-0.99.5-（ar

注意

使用管道命令行g(shù)zip-dcWireshark-0.995tar.gz|tarxvf同樣可以?

注意

如果您在Windows下下找了Wireshark,你會(huì)發(fā)現(xiàn)文件名中的那些點(diǎn)變成了下劃規(guī)。

將當(dāng)前目錄設(shè)黃成源文件的目錄，

配置.您的源文件以編譯成適合您的Unix的版本。命令如下：

./a）nfigure

如果找個(gè)步驟提示鉗誤,您需要修正情誤.然后重新configure.解決編譯錯(cuò)誤可以參考笫25獷?解決UNIX卜安裝過(guò)江中的

題“

使用make命令將源文件編譯成二進(jìn)制包，例如：

make

安裝您編譯好的二進(jìn)制包到歧終目標(biāo)，使用如下命令：

makeinstall

一旦您使用makeinstall安裝了Wireshark,您就可以通過(guò)輜入Wireshark命令來(lái)運(yùn)行它（.

（opRH。“加，'11"Pipdmzxn.?fam?ivn.<<????：??

25在UNIX下安裝二進(jìn)制包

一般來(lái)說(shuō),在您的UNIX下安裝二進(jìn)制發(fā)行包使用的方式根據(jù)您的UNIX的版本類型而各有不同。例如AIX下,您可以使

用smit安裝,Tru64UNIX您可以使用setld命令。

2.5.1.在Linux或類似環(huán)境下安裝RPM包

使用如下命令安裝WiresharkRPM包

rpn-ivhwireshark-0.99.5.i386.rpm

如果因?yàn)槿鄙賅ireshark依賴的軟件而導(dǎo)致安裝制誤，請(qǐng)先安裝依賴的軟件.然后再嘗試安姿.REDHAT卜依賴的軟件諳參

考例2.3??在RedHalLinux6.2或行他「該I扳4得發(fā)行版卜女笑高瑟的RPM色”

2.5.2.在Debian環(huán)境下安裝Deb包

使用下列命令在Debian下安裝Wireshark

apt-getinstallWirushark

ap（-gel會(huì)為您完成所有的相關(guān)操作

2.5.3.在GcntooLinux環(huán)境下安裝Portage

使用如下命令在GentooLinux下安裝wireshark以及所有的需要的附加文件

USE="adnsgtkipv6portaudiosnmpsslkerberosthreadssclinux"emergewireshark

2.5.4.在FreeBSD環(huán)境下安裝包

使如下命令在FreeBSD下安裝Wireshark

pkg_add-rwireshark

pkg_add會(huì)為您完成所有的相關(guān)操作

2.6.解決UNIX下安裝過(guò)程中的問(wèn)題【必

安裝過(guò)程中可能會(huì)遇到一些錯(cuò)誤信息。這里給出一些錯(cuò)誤的解決辦法：

如果configure那?步發(fā)生錯(cuò)誤。你禍要找出錯(cuò)誤的原因，您可以檢杳H志文件contlg.l?！暝谠次募夸浵虏房创憾及l(fā)生了哪

些錯(cuò)誤。有價(jià)值的信息通常在最后幾行.

一般原因是因?yàn)槟X少GTK+環(huán)境，或者您的GTK+版本過(guò)低。contigure錯(cuò)誤的另一個(gè)原因是囚為因?yàn)樘賚ibpcap（這就是

前面提到的捕捉包的工具）.

另外一個(gè)常見(jiàn)問(wèn)題是很多用戶抱怨公后編譯、鏈接過(guò)程需要等待太長(zhǎng)時(shí)間。這通常是因?yàn)槭褂美鲜降膕ee!命令（比如Solaris

下傳諭〉.自從libtool腳本使用sed命令建立最終鏈接命令.常常會(huì)導(dǎo)致不可知的惜誤.您可以通過(guò)下載最新版本的sed解決

該問(wèn)題htlp://direcl<>rY.fsf.（>ri;，GNU/sed.hlml.

如果您無(wú)法檢測(cè)出錯(cuò)誤原因.發(fā)送味件到岫羽型蟲皿說(shuō)明您的問(wèn)題。當(dāng)然,郵件里要附上conflg.log以及其他您認(rèn)為對(duì)解

決問(wèn)題有祁助的東西，例如make過(guò)程的追蹤，

4人4；R￡CNIXUNUX,述段的偽霧'？?同倦人分爹/依WWchaK介必便箕&??依矜1G/?下。個(gè)人應(yīng)下UPCIKLIXUX下曾皖力UNDC5UXFW；?。尚險(xiǎn)女收U

<］是卜級(jí)用外unu力.U"力屋璘力曾.^uHtnrmnrt.3?*M4i30ftdTn?jT.j.uf\發(fā)信卜敷nwce/RMR期AUJU.n侵as

樂(lè)小惶地發(fā)療《宣械.?《心上外,比如umr的GTK?X?.口?力4以，4>23//wix卜一我之”二?

2.7.在Windows下編譯源

在Windows平臺(tái)下，我們建議坡好是使用二進(jìn)制包直接安裝，除非您是從事Wireshark開(kāi)發(fā)的。如果想了解關(guān)FWindows

下編譯安裝Wireshark,請(qǐng)ff看我們的開(kāi)發(fā)WIKI網(wǎng)站hUDJ/wiki.wireshark.orft/Developmeni來(lái)了解炒新的開(kāi)發(fā)方面的文檔。

2.8.在Windows下安裝Wireshark

本節(jié)將探討在Windows下安裝Wireshark二送制包.

2.8.1.安裝Wireshark

您兼得的Win;shark:進(jìn)制安裝包可能名稱類似Riresharkseiup-x.y.z.exe.Wireshark安裝包包含WinPcap,所以您不需?要單獨(dú)下

教安裝它.

您只需要在hUp;"www.wircTh;irkQrg/dcwnlcad.Mml#n;lc:iscs下載Wireshark安裝包并執(zhí)行它昭可.除了普通的安裝之外，還

有幾個(gè)組件供挑選安裝.

提示：盡量保持默認(rèn)設(shè)置

如果您不了解設(shè)置的作用的話.

選擇組件以1

Wireshark（包括GTKI和GTK2接口無(wú)法同時(shí)安裝）：

如果您使用GTK2的GUI界面遇到問(wèn)題可以嘗試GTKI.在Window.下256色（8bit）顯示梭式無(wú)法運(yùn)行GTK2.但是某些離

級(jí)分析統(tǒng)計(jì)功能在GTK1卜可能無(wú)法實(shí)現(xiàn).

VViresharkGTK1-Wireshark是一個(gè)GUI網(wǎng)絡(luò)分析工具

VViresharkGTK2-Wircshark是一個(gè)GUI網(wǎng)絡(luò)分析工具（建議使用GTK2GUI模組工具）

CTK-Wiinp-GTKWimp是詩(shī)歌GTK2窗口模以（看起來(lái)感覺(jué)像原生\vindows32程序.推存使用）

TSshark-TShark是一個(gè)命令行的網(wǎng)絡(luò)分析工具

插件/擴(kuò)展（Wireshark.TShark分析引擎）：

DissectorPlugins-分析插件：帶有擴(kuò)展分析的插件

TreeStatisticsPlugins-樹狀統(tǒng)計(jì)插件：統(tǒng)計(jì)工具獷展

Mate-MetaAnalysisandTracingEngine（experimental）:可Ad置的顯示過(guò)能引掌.參考hi【p:〃\viki.wirc$harkQi~g/M；Uc.

SNMPMIBs:SNMP.MIBS的詳細(xì)分析.

Tools/T具（處理捕捉文件的附加命令行工具

UsersGuide-用戶手冊(cè)-本地安裝的用戶手冊(cè).如果不安裝用戶手冊(cè)，幫助菜單的大部分按鈕的結(jié)果可能就是訪問(wèn)internet.

?Editcap-Editcapisaprogramthatreadsacapturefileandwritessomeorallofthepacketsintoanothercapeurefile.

/Ediicap是一個(gè)讀取捕捉文件的程序，還可以將一個(gè)捕捉文件力的部分或所有信息寫入另一個(gè)捕捉文件。（文件合并or

插入？）

Tcxt2l*cap-Tcxt2pcapi*aprogramthatrcad.5iianASCIIhexdumpandwritesthedataintoalibpcap-Mylccapturefilc./Tcx2pcap

是一個(gè)讀取ASCIIhex,寫入數(shù)據(jù)到libpcap個(gè)文件的程序。

Mergecap-Mcrgccapisaprogramthatcombinesmultiplesavedcapturefilesintoasingleoutputfile./Mcrgccap是一個(gè)可以,3

多個(gè)捕捉文件合并為一個(gè)的程序.

Capinfos-Capinfosisaprogramthatprovidesiiformaliononcapturefiles./Capinfos是一個(gè)顯示捕捉文件信息的程序。

“AdditionalTasks”頁(yè)

StartMenuShortcuts-開(kāi)始菜單快捷方式-增加?些快攏方式到開(kāi)始菜單

DesktopIcon-桌面圖標(biāo).增加Wireshark圖標(biāo)到桌面

Quickl.aunchIcon-快速啟動(dòng)圖標(biāo)-增加一個(gè)Wireshark圖標(biāo)到快速俄動(dòng)工具欄

AssociatefileextensionstoWireshark-Wireshark文件關(guān)聯(lián)用捕捉包默認(rèn)打開(kāi)方式關(guān)聯(lián)到Wirc$h;irk

ImtallWinPenp，?”頁(yè)

Wireshark安裝包里包含了最新版的WinPeap安裝包。

如果您沒(méi)有安裝WinPc叩.您將無(wú)法捕捉網(wǎng)絡(luò)流球。但是您還是可以打開(kāi)以f呆存的捕捉包文件，

CurrentlyinstalledWinBeapversion-當(dāng)前安親的WinPeap版本

InstallWinPeapx.x-如果當(dāng)前安裝的版本低于Wireshark自滯的，該選項(xiàng)將會(huì)是戰(zhàn)次值.

StartWinPeapservice-NPF-atstartup-將WinPeap的服務(wù)NPF在肩動(dòng)時(shí)運(yùn)行-這樣其它非管理員用戶就同樣可以捕捉包

了.

更多關(guān)于WinPeap的信息：

Wireshark用關(guān)hllp:，八vikiN'ire'/WinPcap

WinPeapTf方網(wǎng)站：hllp:Pwww.winpeap.。川

安裝命令選項(xiàng)

您可以直接在命令行運(yùn)行安裝包，不加任何參數(shù),這樣會(huì)顯示常用的參數(shù)以供交互安袋.在個(gè)別應(yīng)用中，可以選擇一些參數(shù)

定制安裝：

/NCRC禁I上CRC校檢

/S靜默模式安裝或卸載Wireshark.注意：靜默模式安裝時(shí)不會(huì)安裝WinPeap!

/desktopic.n安裝桌面圖標(biāo)，/deskiopicon=y“表示安裝圖標(biāo).反之則不是,適合靜默模式。

/qMcklaunchicon將圖標(biāo)安裝到快速啟動(dòng)工具欄，=yes-安裝到工具欄，=no-不安裝，不填按默認(rèn)設(shè)苴。

/D設(shè)置我認(rèn)安裝目錄岱INSTDIR）,首選安裝目錄和安裝目錄注冊(cè)表鍵值，該選項(xiàng)必須設(shè)置到地后。即使路徑包含空格例

2.5.

wircshark-sc（uj>-0.99.5.exe/NCRC/S/dcsktopicon=ycs/quicklaunchicon=no/D=C:\ProgramFilcs\Foo

2.K.2.手動(dòng)安裝WinPeap

注意

事先聲明，Wireshark安裝時(shí)會(huì)誣慎對(duì)待WinPeap的安裝，所以您通常不必?fù)?dān)心WinPeap,

卜面的WinPeap僅適合您需要嘗試未包括在Wireshark內(nèi)的不同版本W(wǎng)inPeap.,例如一個(gè)新版本的WinPeap發(fā)布了，您需

要安裝它.

單獨(dú)的WinPcap版本（包括alphaorbcla版》可以在卜面地址卜載到

WinPcap官方網(wǎng)站：htlD：//ww\v.winpcap.<>ri;

W鏡像站點(diǎn):hup:，'Mww.mirrurs.wireiapped.ne【/securilv.，'packel-caplureJw'inpcap

在下就頁(yè)面您將會(huì)發(fā)現(xiàn)WinPcap的安裝包名稱通常類似于“auto-installer”。它們可以在NT4.0,'2000/XP/vista下安裝，

2.8.3.更新Wireshark

仃時(shí)候您可能想將你的WinPcap更新到最新版也如果您仃閱/Wircsha由通知郵件，您將會(huì)獲得Wircshark新版本發(fā)布的

通知，見(jiàn)第1.6.4節(jié)”郵件列表”

新版誕生通常需要8-12周.更新Wircshark就是安裝一卜.新版本,卜戢并安裝它就可以。更新通常不需要田新啟動(dòng)?也不會(huì)更

改過(guò)去的默認(rèn)設(shè)巴

2.8.4,更新WinPcap

WinPcap的更新不是十分頻繁，通常一年左右。新版本出現(xiàn)的時(shí)候您會(huì)收到WinPcap的通知.更新WinPcap后麓要重新啟動(dòng)。

警告

在安裝新版WinPcap之前.如果您已經(jīng)安裝了舊版WinPcap,您必須先卸載它.最近版本的

WinPcap安裝時(shí)會(huì)自日卸載舊版。

2.8.5.卸載Wireshark

你可以用常見(jiàn)方式卸載Wireshark,使用添加/刪除程序,選擇“Wireshark”選項(xiàng)開(kāi)始卸我即明

Wireshark卸載過(guò)程中會(huì)提供一些選項(xiàng)供您選擇和我哪些部分，默認(rèn)是卸載核心組件,但保留個(gè)人設(shè)置和WinPcap.

WinPcap跋認(rèn)不會(huì)被卸載.因?yàn)槠渌愃芖ireshark的程序有可能同樣適用WinPc叩

2.8.6.卸載WinPcap

你可以單獨(dú)卸我WinPcap,在添加，刪除程序選擇'■WinPcap”卻效它.

注意

卸載WinPcap之后您將不鍍使用Wireshark捕捉包.在

卸我完成之后最好重新啟動(dòng)計(jì)算機(jī)，

(j|MttXSM'Xfc.UVAUJti'J.a?.????

第3章用戶界面

目錄

3.1.須知

XL啟動(dòng)Wireshark

3J.卜府"

X1L主窗口概述

主菜單

35"File”菜單

3.6."Edit"菜單

3?"View"菜單

38"Go"菜單

3.9."Capture"

3.@"Analyze”菜單

3.11,"Stalistics”菜單

3.12."Help'W

3.13,"MaiiT工具欄

3.14."Filter"!

3.5"PeaksList”血取

3.6"PacketDetails??面板

3.：7,"PacketByte-jflife

3.18.狀態(tài)樣

3.1.須知

現(xiàn)在您已經(jīng)安袋好了Wireshark,幾乎可以馬上捕捉您的一個(gè)包.緊接著的這一節(jié)我們將會(huì)介紹：

Wireshark的用戶界面如何使用

如何捕捉包

如何查看包

女啊過(guò)池包

……以及其他的一些工作，

3.2.啟動(dòng)Wireshark

你可以使用Shell命令行或者費(fèi)源管理器啟動(dòng)Wireshark.

提示

開(kāi)始Wireshark時(shí)您可以指定適為的參數(shù).參見(jiàn)第9.2節(jié)“從命令行肩動(dòng)Wireshark”

注意

在后面的章節(jié)中，將會(huì)出現(xiàn)大量的獻(xiàn)圖，因?yàn)閃ireshark運(yùn)行在多個(gè)平臺(tái)，并且支持多

個(gè)GUIToolki?GTKLx/2x）,您的算幕上顯示的界面可能與技圖不盡吻合。但在功能上不會(huì)

有實(shí)偵性區(qū)別.盡管有這些區(qū)別，也不會(huì)導(dǎo)致理解上的困難，

33.主窗口

先來(lái)百看圖3」“主前”界面”,大多數(shù)打開(kāi)捕捉包以后的界面都是這樣子（如何捕捉/打開(kāi)包文件陋后提到）。

圖3.1.主窗口界面

tesl.pcap-Wireshark目回區(qū)）

出EditYiew8CaptureMWzeStobstks附

a1a下氫

郭?*G再&ElxQ◎動(dòng)iBS4

MEJter：|▼+Expression..觸Appfy

No.-TimeSourceDestinationProtocolInfo

10.000000192.168.0.2BroadcastARPWhohas192.168.0.2?GratuitousJ

20.299139192.168.0.1192.168.0.2NBNSMarnsqueryHBSTATr<00><00><00><0C

30.299214192?168.0.2192?168.0.1ICMPDestinatTOn-unreachable(Portunn

41.025659192.168.0.2224.0.0.22IGMPV3MentoershipReport

51.044366192.168.0.2192.168.0.1DMSStandardquerySRV_)dap._tcp.nbgr

61.048652192.168.0.2239.255.255.250UDPSourceport:3193Destinationpot

71.050784192.168.0.2192.168.0.1DNSStandardquerySOAnbl0061d.w^004|

81.055053192.168.0.1192.168.0.2UDPSourceport:1900Destinationpot

91.082038192.168.0.2192.168.0.255NBNSRegistrationNBNB10061D<00>

AU192.168.0.2192.168.0.1DNSStandardqueryAproxyconf.'/MOOA.j

.(r/ffW■■■■

121.227282192.168.0.1192.168.0.2TCPhttp>3196[SYN,ACK]Seq-0Ack-：v

<>

SFrame11(62bytesonwire,62bytescaptured)A

由EthernetII,Src:192,168.0.2(OO:Ob:5d:2O:cd:O2),Dst:Netgear_2d:75:9a(00:09:5b:2d:75:9a)

?InternetProtocol,Src:192,168.0.2(192.168.0.2),Dst:192,168.0.1(192.168.0.1)

dTransmissionControlProtocol,SrcPort:3196(3196).DstPort:http(80),Seq:0,Len:0

Sourceport:3196(3196)

Destinationport:http(80)

Sequencenumber:0(relativesequencenumber)

Headerlength:28bytes

'±Flags:0x0002(SYN)

Windowsize：64240v

5dK02a045O0

R。。00095bza759a80D612■cocda8OBo2c0d8

D010003018484000800695f8c