用户
搜索

[web安全] Wireshark抓包工具

  • TA的每日心情
    开心
    昨天 07:40
  • 签到天数: 66 天

    连续签到: 66 天

    [LV.6]常住居民II

    i春秋-见习白帽

    Rank: 3Rank: 3

    36

    主题

    79

    帖子

    1704

    魔法币
    收听
    0
    粉丝
    4
    注册时间
    2020-10-2
    发表于 2021-4-10 11:52:27 24477
    本帖最后由 Johnson666 于 2021-4-10 12:17 编辑

    Wireshark
    wireshark是一款抓包软件,比较易用,在平常可以利用它抓包,分析协议或者监控网络,是一个比较好的工具。
    (1)Wireshark的启动界面和抓包界面
    启动界面:
      
    QQ图片20210410113522.png


    抓包界面的启动是
    按file下的按钮

    QQ图片20210410113542.png

    之后会出现
       
    QQ图片20210410113548.png

    这个是网卡的显示,因为我有虚拟机所以会显示虚拟网卡,我们现在抓的是真实网卡上的包所以在以太网卡右边点击start 开始抓包

    QQ图片20210410113556.png

    这个就是抓包的界面了(也是主界面)

    QQ图片20210410113602.png
    (2)Wireshark主窗口由如下部分组成:
    1. 菜单——用于开始操作。
    2. 主工具栏——提供快速访问菜单中经常用到的项目的功能。
    3. Fitertoolbar/过滤工具栏——提供处理当前显示过滤得方法。
    4. PacketList面板——显示打开文件的每个包的摘要。点击面板中的单独条目,包的其他情况将会显示在另外两个面板中。
    5. Packetdetail面板——显示您在Packet list面板中选择的包的更多详情。
    6. Packetbytes面板——显示您在Packet list面板选择的包的数据,以及在Packet details面板高亮显示的字段。
    7. 状态栏——显示当前程序状态以及捕捉数据的更多详情。

    1.菜单栏
    主菜单包括以下几个项目:
    File ——包括打开、合并捕捉文件,save/保存,Print/打印,Export/导出捕捉文件的全部或部分。以及退出Wireshark项.
    Edit ——包括如下项目:查找包,时间参考,标记一个多个包,设置预设参数。(剪切,拷贝,粘贴不能立即执行。)
    View ——控制捕捉数据的显示方式,包括颜色,字体缩放,将包显示在分离的窗口,展开或收缩详情面版的地树状节点
    GO ——包含到指定包的功能。
    Analyze ——包含处理显示过滤,允许或禁止分析协议,配置用户指定解码和追踪TCP流等功能。
    Statistics ——包括的菜单项用户显示多个统计窗口,包括关于捕捉包的摘要,协议层次统计等等。
    Help ——包含一些辅助用户的参考内容。如访问一些基本的帮助文件,支持的协议列表,用户手册。
          2.工具栏(略)
      3.过滤工具栏


    QQ图片20210410113608.png

    QQ图片20210410113613.png 会弹出对话框


       QQ图片20210410113617.png
    这个和在工具栏上输入协议来查找包的结果是一样的,只是它方便点
    在工具栏上输 QQ图片20210410113623.png

    点击 在此区域输入或修改显示的过滤字符,在输入过程中会进行语法检查。如果您输入的格式不正确,或者未输入完成,则背景显示为红色。直到您输入合法的表达式,背景会变为绿色。你可以点击下拉列表选择您先前键入的过滤字符。列表会一直保留,即使您重新启动程序。
    · 注意:
    1.     做完修改之后,记得点击右边的Apply(应用)按钮,或者回车,以使过滤生效。
    2.     输入框的内容同时也是当前过滤器的内容(当前过滤器的内容会反映在输入框)

    4.封包列表
    QQ图片20210410113636.png

    QQ图片20210410113643.png
    [/table]
    封包列表中显示所有已经捕获的封包。在这里您可以看到发送或接收方的MAC/IP地址,TCP/UDP端口号,协议或者封包的内容。如果捕获的是一个OSI layer 2的封包,您在Source(来源)和Destination(目的地)列中看到的将是MAC地址,当然,此时Port(端口)列将会为空。
    如果捕获的是一个OSI layer 3或者更高层的封包,您在Source(来源)和Destination(目的地)列中看到的将是IP地址。Port(端口)列仅会在这个封包属于第4或者更高层时才会显示。

    您可以在这里添加/删除列或者改变各列的颜色:
    Edit menu -> Preferences
    5.封包详细信息

    QQ图片20210410113649.png

    这里显示的是在封包列表中被选中项目的详细信息。
    信息按照不同的OSI layer进行了分组,您可以展开每个项目查看。
    ps:wireshark会用不难,难的是会看懂这些包
    (如果对这些包头信息不了解的可以自己去查查资料)
    6. 16进制数据
    QQ图片20210410113655.png
    “解析器”在Wireshark中也被叫做“16进制数据查看面板”。这里显示的内容与“封包详细信息”中相同,只是改为以16进制的格式表述。
    (3)我们还要学会在大量的信息中过滤分析我们需要的信息
    过滤:
    过滤器会如此重要。它们可以帮助我们在庞杂的结果中迅速找到我们需要的信息。
    - 捕捉过滤器:用于决定将什么样的信息记录在捕捉结果中。需要在开始捕捉前设置。
    - 显示过滤器:在捕捉结果中进行详细查找。他们可以在得到捕捉结果后随意修改。
    两种过滤器的目的是不同的。
    1.捕捉过滤器是数据经过的第一层过滤器,它用于控制捕捉数据的数量,以避免产生过大的日志文件。
    2.显示过滤器是一种更为强大(复杂)的过滤器。它允许您在日志文件中迅速准确地找到所需要的记录。
    1.捕捉过滤器
    捕捉过滤器的语法与其它使用Lipcap(Linux)或者Winpcap(Windows)库开发的软件一样,比如著名的TCPdump。捕捉过滤器必须在开始捕捉前设置完毕,这一点跟显示过滤器是不同的。
    设置捕捉过滤器的步骤是:
    - 选择 capture -> options。
    - 填写"capture filter"栏或者点击"capture filter"按钮为您的过滤器起一个名字并保存,以便在今后的捕捉中继续使用这个过滤器。
    - 点击开始(Start)进行捕捉。

    QQ图片20210410113700.png


    QQ图片20210410113707.png

    [/table]
    [/table][/table][/table][/table][/table]
    语法:
    Protocol
    Direction
    Host(s)
    Value
    Logical Operations
    Other expression_r

    例子:
    tcp
    dst
    10.1.1.1
    80
    and
    tcpdst 10.2.2.2 3128

    file:///C:/Users/XF/AppData/Local/Temp/msohtmlclip1/01/clip_image024.pngProtocol(协议):
    可能的值: ether, fddi, ip,arp, rarp, decnet, lat, sca, moprc, mopdl, tcp and udp.
    如果没有特别指明是什么协议,则默认使用所有支持的协议。

    file:///C:/Users/XF/AppData/Local/Temp/msohtmlclip1/01/clip_image024.pngDirection(方向):
    可能的值: src, dst, src and dst, src or dst
    如果没有特别指明来源或目的地,则默认使用 "src or dst" 作为关键字。
    例如,"host 10.2.2.2"与"srcor dst host 10.2.2.2"是一样的。
    file:///C:/Users/XF/AppData/Local/Temp/msohtmlclip1/01/clip_image024.pngHost(s):
    可能的值: net, port, host, portrange.
    如果没有指定此值,则默认使用"host"关键字。
    例如,"src 10.1.1.1"与"srchost 10.1.1.1"相同。

    file:///C:/Users/XF/AppData/Local/Temp/msohtmlclip1/01/clip_image024.pngLogical Operations(逻辑运算):
    可能的值:not, and, or.
    否("not")具有最高的优先级。或("or")和与("and")具有相同的优先级,运算时从左至右进行。
    例如,
    "not tcp port 3128 and tcp port 23"与"(nottcp port 3128) and tcp port 23"相同。
    "not tcp port 3128 and tcp port 23"与"not(tcp port 3128 and tcp port 23)"不同。

    例子:
    [table]
      
    tcp  dst port 3128
      
    显示目的TCP端口为3128的封包。
    [table]
      
    ip  src host 10.1.1.1
      
    显示来源IP地址为10.1.1.1的封包。
    [table]
      
    host  10.1.2.3
      
    显示目的或来源IP地址为10.1.2.3的封包。
    [table]
      
    src  portrange 2000-2500
      
    显示来源为UDP或TCP,并且端口号在2000至2500范围内的封包。
    [table]
      
    not  imcp
      
    显示除了icmp以外的所有封包。(icmp通常被ping工具使用)
    [table]
      
    src  host 10.7.2.12 and not dst net 10.200.0.0/16
      
    显示来源IP地址为10.7.2.12,但目的地不是10.200.0.0/16的封包。
    [table]
      
    (src  host 10.4.1.12 or src net 10.6.0.0/16) and tcp dst portrange 200-10000 and  dst net 10.0.0.0/8
      
    显示来源IP为10.4.1.12或者来源网络为10.6.0.0/16,目的地TCP端口号在200至10000之间,并且目的位于网络10.0.0.0/8内的所有封包。

    注意事项:

    当使用关键字作为值时,需使用反斜杠“\”。
    "ether proto \ip" (与关键字"ip"相同).
    这样写将会以IP协议作为目标。

    "ip proto \icmp" (与关键字"icmp"相同).
    这样写将会以ping工具常用的icmp作为目标。

    可以在"ip"或"ether"后面使用"multicast"及"broadcast"关键字。
    当您想排除广播请求时,"no broadcast"就会非常有用。

    file:///C:/Users/XF/AppData/Local/Temp/msohtmlclip1/01/clip_image025.png2. 显示过滤器

    通常经过捕捉过滤器过滤后的数据还是很复杂。此时您可以使用显示过滤器进行更加细致的查找。
    它的功能比捕捉过滤器更为强大,而且在您想修改过滤器条件时,并不需要重新捕捉一次。
      
    语法:
      
      
      
      
    Protocol
      
      
    .
      
      
    String 1
      
      
    .
      
      
    String 2
      
      
      
      
    Comparison
      operator
      
      
      
      
    Value
      
      
      
      
    Logical
      Operations
      
      
      
      
    Other
      expression_r
      
      
    例子:
      
      
      
      
    ftp
      
      
      
      
    passive
      
      
      
      
    ip
      
      
      
      
    ==
      
      
      
      
    10.2.3.4
      
      
      
      
    xor
      
      
      
      
    icmp.type
      
    file:///C:/Users/XF/AppData/Local/Temp/msohtmlclip1/01/clip_image024.png
    Protocol(协议):

    可以使用大量位于OSI模型第2至7层的协议。点击"Expression..."按钮后,可以看到它们。
    比如:IP,TCP,DNS,SSH

    QQ图片20210410113711.png

    file:///C:/Users/XF/AppData/Local/Temp/msohtmlclip1/01/clip_image024.pngString1, String2 (可选项):

    协议的子类。
    点击相关父类旁的"》"号,然后选择其子类。

    QQ图片20210410113716.png


    file:///C:/Users/XF/AppData/Local/Temp/msohtmlclip1/01/clip_image024.pngComparison operators (比较运算符):

    可以使用6种比较运算符:
      
    英文写法:
      
      
    C语言写法:
      
      
    含义:
      
      
    eq
      
      
    ==
      
      
    等于
      
      
    ne
      
      
    !=
      
      
    不等于
      
      
    gt
      
      
    >
      
      
    大于
      
      
    lt
      
      
    <
      
      
    小于
      
      
    ge
      
      
    >=
      
      
    大于等于
      
      
    le
      
      
    <=
      
      
    小于等于
      
    file:///C:/Users/XF/AppData/Local/Temp/msohtmlclip1/01/clip_image024.pngLogical expression_rs(逻辑运算符):
      
    英文写法:
      
      
    C语言写法:
      
      
    含义:
      
      
    and
      
      
    &&
      
      
    逻辑与
      
      
    or
      
      
    ||
      
      
    逻辑或
      
      
    xor
      
      
    ^^
      
      
    逻辑异或
      
      
    not
      
      
    !
      
      
    逻辑非
      
    被程序员们熟知的逻辑异或是一种排除性的或。当其被用在过滤器的两个条件之间时,只有当且仅当其中的一个条件满足时,这样的结果才会被显示在屏幕上。
    让我们举个例子:
    "tcp.dstport 80 xor tcp.dstport 1025"
    只有当目的TCP端口为80或者来源于端口1025(但又不能同时满足这两点)时,这样的封包才会被显示。


    例子:
      
    snmp  || dns || icmp
      
      
    显示SNMPDNSICMP封包。
      

      
    ip.addr  == 10.1.1.1
      
    显示来源或目的IP地址为10.1.1.1的封包。
      
    ip.src  != 10.1.2.3 or ip.dst != 10.4.5.6
      
    显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。
    换句话说,显示的封包将会为:
    来源IP:除了10.1.2.3以外任意;目的IP:任意
    以及
    来源IP:任意;目的IP:除了10.4.5.6以外任意
      
    ip.src  != 10.1.2.3 and ip.dst != 10.4.5.6
      
    显示来源不为10.1.2.3并且目的IP不为10.4.5.6的封包。
    换句话说,显示的封包将会为:
    来源IP:除了10.1.2.3以外任意;同时须满足,目的IP:除了10.4.5.6以外任意
      
    tcp.port  == 25
      
      
    显示来源或目的TCP端口号为25的封包。
      

      
    tcp.dstport  == 25
      
      
    显示目的TCP端口号为25的封包。
      

      
    tcp.flags
      
      
    显示包含TCP标志的封包。
      

      
    tcp.flags.syn  == 0x02
      
      
    显示包含TCP SYN标志的封包。
      
    如果过滤器的语法是正确的,表达式的背景呈绿色。如果呈红色,说明表达式有误。

    分析:
    "Follow TCP Stream"
    如果你处理TCP协议,想要查看Tcp流中的应用层数据,"Following TCP streams"功能将会很有用。如果你项查看telnet流中的密码,或者你想尝试弄明白一个数据流。或者你仅仅只需要一个显示过滤来显示某个TCP流的包。这些都可以通过Wireshark的"Following TCP streams"功能来实现。
    在包列表中选择一个你感兴趣的TCP包,然后选择Wireshark工具栏菜单的"Following TCP Streams"选项(或者使用包列表鼠标右键的上下文菜单)。然后,Wireshark就会创建合适的显示过滤器,并弹出一个对话框显示TCP流的所有数据。
    "FollowTCP Stream"对话框
    QQ图片20210410113719.png

    流的内容出现的顺序同他们在网络中出现的顺序一致。从A到B的通信标记为红色,从B到A的通信标记为蓝色。当然,如果你喜欢的话你可以从"Edit/Preferences"菜单项的"Colores"修改颜色。
    非打印字符将会被显示为圆点。XXX - What about line wrapping (maximum line length) and CRNLconversions?
    在捕捉过程中,TCP流不能实时更新。想得到最近的内容需要重新打开对话框。
    你可以在此对话框执行如下操作:
    Save As 以当前选择格式保存流数据。
    Print 以当前选择格式打印流数据。
    Direction 选择流的显示方向("Entire conversation", "data from A to B only"or "data from B to A only").
    Filter out this stream 应用一个显示过滤,在显示中排除当前选择的TCP流。
    Close 关闭当前对话框。移除对当前显示过滤的影响。
    你可以用以下格式浏览流数据。
    AsCII。在此视图下你可以以ASCII凡是查看数据。当然最适合基于ASCII的协议用,例如HTTP.
    EBCDIC。For the big-iron freaks out there.(不知道这句是什么意思, EBCDIC 是IBM公司的字符二进制编码标准。)
    HEX Dump. 允许你查看所有数据,可能会占用大量屏幕空间。适合显示二进制协议。
    C Arrays. 允许你将流数据导入你自己的C语言程序。
    RAW。 允许你载入原始数据到其他应用程序做进一步分析。显示类似与ASCII设置。但“save As”将会保存为二进制文件


    Windows下对本地网络通信进行抓包
    Windows下传统的抓包工具如Wireshark/Ethereal不能对本地程序之间的网络通信抓包,这是因为如果你准备抓取一台机器到自己的报文,则这个报文将不会经过实际的网络适配器,即使报文是发往这台机器上的某个网络适配器地址,这也意味着当你抓包的时候是看不到报文的。
    一些商业抓包工具使用Winsock LSP (Layered Service Provider)技术实现了本地程序之间的网络通信抓包。如果即想要对本地通信进行抓包又要使用Wireshark/Ethereal就要费一番周折了。
    http://wiki.wireshark.org/CaptureSetup/Loopback详细介绍了如何操作。实际操作其实很简单,共分5步:
    1 按照这个http://support.microsoft.com/kb/839013网址中介绍安装loopback网卡驱动。
    2 ipconfig/all命令获得新安装的loopback网卡的MAC地址,比如为55-55-55-55-55-55
    3 给新网卡设置IP地址,比如设置为192.168.0.100,子网掩码设置为255.255.255.0
    4 添加ARP绑定,比如arp s 192.168.0.100 55-55-55-55-55-55
    5 添加路由,比如 route add 192.168.0.100 mask 255.255.255.255192.168.0.100
    然后在ping192.168.0.100的同时抓包,抓包的时候选择新安装的loopback网卡。就这么简单!

    Wireshark找不到无线网卡解决方案
    ·以下内容用于解决Wireshark在WindowsVista / Windows 7下看不到无线网卡的名字,却可以看到一堆叫Microsoft网卡时抓无线网卡包的方法:
    首先你需要正常安装Wireshark以及WinPcap(纯属废话)。

    如果在启动Wireshark时提示NPFdriver is not running,那么请以管理员权限打开CMD,然后执行以下命令:scstart npf。

    接下来在Wireshark主窗口选择:Capture->Interfaces,然后随便访问几个网页。回到CaptureInterfaces窗口,就会看到有一个Microsoft网卡的Packets值在增加。如果你只有一块网卡联网,那么他就是你的无线网卡了。

    这时候点击这块网卡后面的Options,取消勾选Capturepackets inpromiscuousmode,再点击Start,Wireshark就可以正常的抓到无线网卡的数据包了。

    不过这时候你只能抓到通过无线网卡的数据包,而抓不到无线网卡真正的数据包(比如说连接无线点时的验证过程)。这是由于微软在WindowsVista / Windows 7里有一个中间驱动用于把802.11帧转换为802.3帧,以便于上层协议诸如TCP/IP管理(具体的原因/原理我其实也不知道)。如果你想抓到无线网卡所有的数据包,有两种方法:
    1.装个XP,在里面抓包;
    2.装个Linux,在里面抓包。
    神马,这两个你都不想选?那还有方法三:买一个AirPcap的无线网卡,最便宜的也就1000多元,你就可以随意的抓取,甚至修改数据包啦~


    QQ图片20210410115152.png


    QQ图片20210410113723.png
    发表于 2021-4-12 10:36:06
    感谢分享
    我是真的不会武功
    使用道具 举报 回复

    Johnson出品必属精品
    使用道具 举报 回复
    发新帖
    您需要登录后才可以回帖 登录 | 立即注册