大家觉得有用记得关注和点赞
，谢谢。
一、Wireshark介绍
Wireshark（前身是Ethereal）是一个网络封包分析软件，目前是全球使用最广泛的开源抓包软件，别名小鲨鱼或者鲨鱼鳍。
网络封包分析软件的功能是截取网卡进出的网络封包，并尽可能显示出最为详细的网络封包资料，它能够检测并解析各种协议，包括以太网、WIFI、TCP/IP和HTTP协议等等。
Wireshark使用LibPCAP、WinPCAP(现在普遍使用的是Npcap)作为驱动程序，他们提供了通用的抓包接口，直接与网卡进行数据报文交换，WinPCAP本身就是抓包分析工具，Wireshark通过对他进行整合加工丰富出来的产物，所以安装Wireshark的时候会提示我们安装WinPCAP。
二、结构介绍
1、数据包列表
NO：包的编号，通常按照顺序排列
Time: 数据包进出的当时时间
Source: 源ip地址
Destination: 目标ip地址
Protocol：协议
Length：数据包长度
Info： 数据包的一个简要描述，不能看到具体数据
对列可以进行增加、修改、删除、隐藏等操作，但是默认的这几列就够用
2、数据包的各层协议的详细数据
3、数据包对应的16进制表示和ascii类型数据显示
选中任何一行，双击，弹出如下如图
4、数据结构包的详细解析
解释IP数据报的首部
4.1、数据链路层
| 内容 | 说明 | 备注 |
| Ethernet II | 以太网协议版本 II | |
| Source: Apple_de:1f:24 | 厂名:序号 | |
| (64:c7:53: de:1f:24) | 网卡地址 | |
| Type: IPv4 (0x0800) | 协议类型 |
4.2、网络层
| 内容 | 说明 | 备注 |
| Src: 10.22.35.213, | 源地址 | |
| Dst: 220.181.38.251 | 目的地址 | |
| Version: 4 | 互联网协议版本 | |
| … 0101 = Header Length: 20 bytes (5) | 帧头部长度 | |
| Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT) | 差分服务字段(服务类型) | |
| Total Length: 84 | 帧的总长度 | |
| Identification: 0x4117 (16663) | 标识字段 | |
| Flags: 0x00 | 标识字段 | |
| Don’t Fragment Not set | 0允许分片，1为不允许分片 | 大于MTU制之后就丢弃报文 |
| More Fragments set | 大于MTU值 1代表后面还有分片包 0代表最后一个分片包 小于等于MTU值 0代表后面还有分片包 0代表最后一个分片包 | |
| Fragment Offset 0 | 分片偏移量 | 第一片为0，第二片开始有偏移量，通常与More Fragments set组合使用 |
| Total Length | 数据长度 | |
| Seq | 序列号 | 用来定位丢包，通常序列号顺序连续 |
| Identification | 同一个包的不同分片的标识 | |
| Fragment Offset: 0 | 分段偏移量 | |
| Time to Live: 64 | 生存期 ITL | |
| Protocol: ICMP (1) | 上层协议 | |
| Header Checksum: 0x9383 [validation disabled] | 头部数据的校验和 | |
| [Header checksum status: Unverified] | 头部数据的校验和状态 | |
| Source Address: 10.22.35.213 | 源IP 地址 | |
| Destination Address: 220.181.38.251 | 目的IP 地址 |
1）在设计以太网时，人为规定了每个帧的最大长度1500字节 (即除去以太网帧首部的数据部分），作为每次数据传输单元（即MTU）。
2）物理层会限制每次发送数据帧的最大长度，当网络层收到一份待发送的IP数据报时，会进行选路（选择出接口），并查询该接口MTU值。
3）如果IP数据报中的数据长度大于该接口MTU值，会发两种情况：丢包或分片。当IP数据报开启允许分片功能，则会进行分片，否则就丢包。
例如分析IP分片数据包分析
4）IP分片数据包
由于以太网数据报的“数据”部分最长只有1500字节，因此如果IP数据报超过了1500字节，就需要分割成多个以太网数据包分开发送。
在使用ping命令时，默认是不会超过1500字节的，所以如果想要获取IP分片包，需要指定发送的ICMP包大大小。
比如： ping 192.168.0.1 -l 3000 指定获取包的大小为3000
5）分析IP分片数据包分析
在该获取文件中，123帧和678帧是一个完整的ping包，其中123是一个请求包，678是响应包。
1》分析 第1帧数据包
2》分析第2帧数据包
3》分析第3帧数据包
5、过滤条件-抓获过滤器
5.1、对源地址及目的地址过滤
ip.src == ip地址
ip.dst == ip地址
5.2、对源地址或者目的地址过滤
ip.addr == ip地址
5.3、对源地址或者目的端口过滤
tcp.port == 80
5.4、大于某个端口的过滤
tcp.port >= 60000
5.5、协议过滤
协议过滤 直接在filter框中输入协议名，如过滤HTTP协议，则http
5.6、http协议相关过滤 过滤出请求地址中包含“user”的请求
http.request.uri contains User
5.7、过滤域名
http.host == www.baidu.com
5.8、模糊过滤域名
http.host contains baidu
5.9、过滤请求的content_type类型
http.content_type == 'text/html'
5.10、过滤http响应状态码
http.response.code == 200
5.11、过滤含有指定cookie的http数据包
http.cookie contains userid
5.12、捕获多端口的数据包，可以使用and来连接
udp.port >= 2048
5.13、针对长度和内容的过滤
udp.length < 20
http.content_length <=30
5.14、针对uri 内容的过滤
http.request.uri matches "user" (请求的uri中包含“user”关键字的) matches 后的关键字是不区分大小写的。
http.request.uri contains "User" (请求的uri中包含“user”关键字的)
5.15、过滤出请求地址中包含“user”的请求，不包括域名
http.request.uri contains "User"
5.16、精确过滤域名
http.host==baidu.com
5.17、模糊过滤域名
http.host contains "baidu"
5.18、过滤请求的content_type类型
http.content_type =="text/html"
5.19、过滤http请求方法
http.request.method=="POST"
http.request.method=="GET"
5.20、过滤tcp端口
tcp.port==80
http && tcp.port==80 or tcp.port==5566
5.21、过滤http响应状态码
http.response.code==302
5.22、过滤含有指定cookie的http数据包
http.cookie contains "userid"
5.23、比较符号
与：&&或者and
或：||或者or
非：！或者not
5.24、常用表达式实例
src www.baidu.com
dst www.baidu.com
5.25、过滤出源mac地址的数据包
src ether host 98:1a:35:98:09:6f
5.26、不抓取广播包
!broadcast
5.27、通过mac地址过滤
ether host 98:1a:35:98:09:6f
6、报文分片说明
如果当传输数据量超过设置的MTU时，IP就会将数据报进行分片，将一个超过MTU的数据报分为多个不大于MTU的数据报进行发送。接收端收到后再进行组装，形成完整的数据报。在进行分片时，IP通过设置MF标志位为1作为标识是否为最后一个分片。
mtu 设置当前接口的最大传输单元限制MTU
第一个包的MF字段被设置成1，说明还有其他分片，而最后一个包的MF字段为0，标志着这是最后一个分片
6.1 有分片说明
6.2 没有分片说明
