【文章內(nèi)容簡介】 行語法檢查。如果您輸入的格式不正確，或者未輸入完成，則背景顯示為紅色。直到您輸入合法的表達(dá)式，背景會變?yōu)榫G色。你可以點(diǎn)擊下拉列表選擇您先前鍵入的過濾字符。列表會一直保留，即使您重新啟動程序。注意做完修改之后，記得點(diǎn)擊右邊的Apply(應(yīng)用)按鈕，或者回車，以使過濾生效。 注意輸入框的內(nèi)容同時(shí)也是當(dāng)前過濾器的內(nèi)容（當(dāng)前過濾器的內(nèi)容會反映在輸入框） 表達(dá)式...標(biāo)簽為表達(dá)式的按鈕打開一個對話框用以從協(xié)議字段列表中編輯過濾器，詳見第節(jié) ““Filter Expression/過濾表達(dá)式”對話框”清除重置當(dāng)前過濾器，清除輸入框應(yīng)用應(yīng)用當(dāng)前輸入框的表達(dá)式為過濾器進(jìn)行過濾注意在大文件里應(yīng)用顯示過濾可能要很長時(shí)間[a] 我看到的Filter按鈕貌似沒有圖標(biāo)，.Pcaket List面板Packet list/包列表面板顯示所有當(dāng)前捕捉的包圖.Packet list/包列表面板列表中的每行顯示捕捉文件的一個包。如果您選擇其中一行，該包得更多情況會顯示在Packet Detail/包詳情，Packet Byte/包字節(jié)面板在分析(解剖)包時(shí)，Wireshark會將協(xié)議信息放到各個列。因?yàn)楦邔訁f(xié)議通常會覆蓋底層協(xié)議，您通常在包列表面板看到的都是每個包的最高層協(xié)議描述。例如：讓我們看看一個包括TCP包,IP包,和一個以太網(wǎng)包。在以太網(wǎng)(鏈路層？)包中解析的數(shù)據(jù)(比如以太網(wǎng)地址），在IP分析中會覆蓋為它自己的內(nèi)容(比如IP地址)，在TCP分析中會覆蓋IP信息。包列表面板有很多列可供選擇。需要顯示哪些列可以在首選項(xiàng)中進(jìn)行設(shè)置，見第節(jié) “首選項(xiàng)”默認(rèn)的列如下 No. 包的編號，編號不會發(fā)生改變，即使進(jìn)行了過濾也同樣如此 Time 包的時(shí)間戳。包時(shí)間戳的格式可以自行設(shè)置，見第節(jié) “時(shí)間顯示格式及參考時(shí)間” Source 顯示包的源地址。 Destination 顯示包的目標(biāo)地址。 Protocal 顯示包的協(xié)議類型的簡寫 Info 包內(nèi)容的附加信息右擊包，可以顯示對包進(jìn)行相關(guān)操作的上下文菜單。見第節(jié) “瀏覽時(shí)過濾包”.Packet Details面板Packet Details/包詳情面板顯示當(dāng)前包(在包列表面板被選中的包)的詳情列表。圖.Packet Details/包詳情面板該面板顯示包列表面板選中包的協(xié)議及協(xié)議字段，協(xié)議及字段以樹狀方式組織。你可以展開或折疊它們。右擊它們會獲得相關(guān)的上下文菜單。見第節(jié) “建立顯示過濾表達(dá)式”某些協(xié)議字段會以特殊方式顯示 Generated fields/衍生字段 Wireshark會將自己生成附加協(xié)議字段加上括號。衍生字段是通過該包的相關(guān)的其他包結(jié)合生成的。例如：Wireshark 在對TCP流應(yīng)答序列進(jìn)行分析時(shí)。將會在TCP協(xié)議中添加[SEQ/ACK analysis]字段 Links/鏈接 如果Wireshark檢測到當(dāng)前包與其它包的關(guān)系，將會產(chǎn)生一個到其它包的鏈接。鏈接字段顯示為藍(lán)色字體，并加有下劃線。雙擊它會跳轉(zhuǎn)到對應(yīng)的包。.Packet Byte面板Packet Byte/包字節(jié) 面板以16進(jìn)制轉(zhuǎn)儲方式顯示當(dāng)前選擇包的數(shù)據(jù)圖.Packet Byte/包字節(jié)面板通常在16進(jìn)制轉(zhuǎn)儲形式中，左側(cè)顯示包數(shù)據(jù)偏移量，中間欄以16進(jìn)制表示，右側(cè)顯示為對應(yīng)的ASCII字符根據(jù)包數(shù)據(jù)的不同，有時(shí)候包字節(jié)面板可能會有多個頁面，例如：有時(shí)候Wireshark會將多個分片重組為一個，見第節(jié) “合并包”.這時(shí)會在面板底部出現(xiàn)一個附加按鈕供你選擇查看圖.帶選項(xiàng)的Paket Bytes/包字節(jié)面板注意附加頁面的內(nèi)容可能來自多個包。右擊選項(xiàng)按鈕會顯示一個上下文菜單顯示所有可用的頁的清單。如果您的面板尺寸過小，這項(xiàng)功能或許有所幫助.狀態(tài)欄狀態(tài)欄用于顯示信息通常狀態(tài)欄的左側(cè)會顯示相關(guān)上下文信息，右側(cè)會顯示當(dāng)前包數(shù)目圖.初始狀態(tài)欄該狀態(tài)欄顯示的是沒有文件載入時(shí)的狀態(tài)，如：剛啟動Wireshark時(shí)圖.載入文件后的狀態(tài)欄左側(cè)顯示當(dāng)前捕捉文件信息，包括名稱，大小，捕捉持續(xù)時(shí)間等。右側(cè)顯示當(dāng)前包在文件中的數(shù)量，會顯示如下值 P:捕捉包的數(shù)目 D:被顯示的包的數(shù)目 M: 被標(biāo)記的包的數(shù)目.圖.已選擇協(xié)議字段的狀態(tài)欄如果你已經(jīng)在Packet Detail/包詳情面板選擇了一個協(xié)議字段，將會顯示上圖提示括號內(nèi)的值()可以作為顯示過濾使用。它表示選擇的協(xié)議字段。第4章實(shí)時(shí)捕捉數(shù)據(jù)包.介紹實(shí)時(shí)捕捉數(shù)據(jù)包時(shí)Wireshar的特色之一Wiershark捕捉引擎具備以下特點(diǎn) 支持多種網(wǎng)絡(luò)接口的捕捉(以太網(wǎng)，令牌環(huán)網(wǎng)，ATM...) 支持多種機(jī)制觸發(fā)停止捕捉，例如：捕捉文件的大小，捕捉持續(xù)時(shí)間，捕捉到包的數(shù)量... 捕捉時(shí)同時(shí)顯示包解碼詳情 設(shè)置過濾，減少捕捉到包的容量。見第節(jié) “捕捉時(shí)過濾” 長時(shí)間捕捉時(shí)，可以設(shè)置生成多個文件。對于特別長時(shí)間的捕捉，可以設(shè)置捕捉文件大小罰值，設(shè)置僅保留最后的N個文件等手段。見第節(jié) “捕捉文件格式、模式設(shè)置”Wireshark捕捉引擎在以下幾個方面尚有不足 從多個網(wǎng)絡(luò)接口同時(shí)實(shí)時(shí)捕捉，(但是您可以開始多個應(yīng)用程序?qū)嶓w，捕捉后進(jìn)行文件合并) 根據(jù)捕捉到的數(shù)據(jù)停止捕捉(或其他操作).準(zhǔn)備工作第一次設(shè)置Wireshark捕捉包可能會遇到一些小麻煩提示關(guān)于如何進(jìn)行捕捉設(shè)置的較為全面的向?qū)Э梢栽?這里有一些常見需要注意的地方 你必須擁有root/Administrator特權(quán)以開始捕捉[12] 必須選擇正確的網(wǎng)絡(luò)接口捕捉數(shù)據(jù) 如果您想捕捉某處的通信，你必須作出決定：在什么地方可以捕捉到 ……以及許多如果你碰到設(shè)置問題，建議看看前面的那個向?qū)?，或許會有所幫助.開始捕捉可以使用下任一方式開始捕捉包 使用打開捕捉接口對話框，瀏覽可用的本地網(wǎng)絡(luò)接口，見圖 “Capture Interfaces捕捉接口對話框”,選擇您需要進(jìn)行捕捉的接口啟動捕捉 你也可以使用捕捉選項(xiàng)按鈕啟動對話框開始捕捉，見圖 “Capture Option/捕捉選項(xiàng)對話框” 如果您前次捕捉時(shí)的設(shè)置和現(xiàn)在的要求一樣，您可以點(diǎn)擊開始捕捉按鈕或者是菜單項(xiàng)立即開始本次捕捉。 如果你已經(jīng)知道捕捉接口的名稱，可以使用如下命令從命令行開始捕捉： wireshark i eth0 k上述命令會從eht0接口開始捕捉，有關(guān)命令行的介紹參見第節(jié) “從命令行啟動Wireshark”.捕捉接口對話框如果您從捕捉菜單選擇Interface...，將會彈出如圖 “Capture Interfaces捕捉接口對話框”所示的對話框警告打開Capture Interfaces/捕捉對話框時(shí) 同時(shí)正在顯示捕捉的數(shù)據(jù)，這將會大量消耗您的系統(tǒng)資源。盡快選擇您需要的接口以結(jié)束該對話框。避免影響系統(tǒng)性能 注意這個對話框只顯示本地已知的網(wǎng)絡(luò)接口，Wireshark可能無法檢測到所有的本地接口，Wireshark不能檢測遠(yuǎn)程可用的網(wǎng)絡(luò)接口，Wireshark只能使用列出可用的網(wǎng)絡(luò)接口 圖.Capture Interfaces捕捉接口對話框描述 從操作系統(tǒng)獲取的接口信息 IP Wireshark能解析的第一個IP地址，如果接口未獲得IP地址（如，不存在可用的DHCP服務(wù)器)，將會顯示Unkow,如果有超過一個IP的，只顯示第一個(無法確定哪一個會顯示). Packets 打開該窗口后，從此接口捕捉到的包的數(shù)目。如果一直沒有接收到包，則會顯示為灰度 Packets/s 最近一秒捕捉到包的數(shù)目。如果最近一秒沒有捕捉到包，將會是灰度顯示 Stop 停止當(dāng)前運(yùn)行的捕捉 Capture 從選擇的接口立即開始捕捉，使用最后一次捕捉的設(shè)置。 Options 打開該接口的捕捉選項(xiàng)對話框,見 第節(jié) “捕捉選項(xiàng)對話框” Details(僅Win32系統(tǒng)) 打開對話框顯示接口的詳細(xì)信息 Close 關(guān)閉對話框 .捕捉選項(xiàng)對話框如果您從捕捉菜單選擇start...按鈕(或者從主工具欄選擇對應(yīng)的項(xiàng)目),Wireshark彈出Capture Option/捕捉選項(xiàng)對話框。如圖 “Capture Option/捕捉選項(xiàng)對話框”所示圖.Capture Option/捕捉選項(xiàng)對話框提示如果你不了解各項(xiàng)設(shè)置的意義，建議保持默認(rèn)。 你可以用對話框中的如下字段進(jìn)行設(shè)置.捕捉楨Interface 該字段指定你想用于進(jìn)行捕捉的借口。一次只能使用一個接口。這是一個下拉列表，簡單點(diǎn)擊右側(cè)的按鈕，選擇你想要使用的接口。默認(rèn)第一是支持捕捉的nonloopback(非環(huán)回)接口，如果沒有這樣的接口，第一個將是環(huán)回接口。在某些系統(tǒng)中，回借口不支持捕捉包(windows平臺下的環(huán)回接口就不支持。)在命令行使用i interface參數(shù)可以替代該選項(xiàng)IP address 表示選擇接口的IP地址。如果系統(tǒng)未指定IP地址，將會顯示為unknown Linklayer header type 除非你有些特殊應(yīng)用，盡量保持此選項(xiàng)默認(rèn)。想了解更多詳情，見 第節(jié) “鏈路層包頭類型” Buffer size: n megabyte(s) 輸入用于捕捉的緩層大小。該選項(xiàng)是設(shè)置寫入數(shù)據(jù)到磁盤前保留在核心緩存中捕捉數(shù)據(jù)的大小，如果你發(fā)現(xiàn)丟包。嘗試增大該值。注意該選項(xiàng)僅適用于Windows平臺Capture packets in promiscuous mode 指定Wireshark捕捉包時(shí)，設(shè)置接口為雜收模式(有些人翻譯為混雜模式)。如果你未指定該選項(xiàng)，Wireshark 將只能捕捉進(jìn)出你電腦的數(shù)據(jù)包(不能捕捉整個局域網(wǎng)段的包)[13]注意如果其他應(yīng)用程序?qū)⒕W(wǎng)卡設(shè)置為雜收模式，即使不選中該選項(xiàng)，也會工作于雜收模式下。注意即使在雜收模式下，你也未必能夠接收到整個網(wǎng)段所有的網(wǎng)絡(luò)包。詳細(xì)解釋見Limit each packet to n bytes 指定捕捉過程中，每個包的最大字節(jié)數(shù)。在某些地方被稱為。snaplen.[14]如果禁止該選項(xiàng)，默認(rèn)值為65535，這適用于大多數(shù)協(xié)議，下面是一些大多數(shù)情況下都適用的規(guī)則(這里又出現(xiàn)了拇指規(guī)則，第一章，系統(tǒng)需求時(shí)提到過。這里權(quán)且翻譯作普適而非絕對的規(guī)則)) 如果你不確定，盡量保持默認(rèn)值 如果你不需要包中的所有數(shù)據(jù)。例如：如果您僅需要鏈路層、IP和TCP包頭，您可能想要選擇一個較小的快照長度。這樣只需要較少的cpu占用時(shí)間用于復(fù)制包，包需要的緩存也較少。如此在繁忙網(wǎng)絡(luò)中捕捉時(shí)丟失的包也可能會相應(yīng)少一點(diǎn)。 如果你沒有捕捉包中的所有數(shù)據(jù)(適用snpaplen截?cái)嗔税?，你可能會發(fā)現(xiàn)有時(shí)候你想要的包中的數(shù)據(jù)部分被截?cái)鄟G棄了。或者因?yàn)槿鄙僦匾牟糠?，想對某些包進(jìn)行重組而發(fā)現(xiàn)失敗。Capture Filter 指定捕捉過濾。捕捉過濾器將會在有第節(jié) “捕捉時(shí)過濾”詳細(xì)介紹，默認(rèn)情況下是空的。同樣你也可以點(diǎn)擊捕捉按鈕，通過彈出的捕捉過濾對話框創(chuàng)建或選擇一個過濾器，詳見第節(jié) “定義，保存過濾器”.捉數(shù)據(jù)幀為文件。捕捉文件設(shè)置的使用方法的詳細(xì)介紹見第節(jié) “捕捉文件格式、模式設(shè)置”File 指定將用于捕捉的文件名。該字段默認(rèn)是空白。如果保持空白，捕捉數(shù)據(jù)將會存儲在臨時(shí)文件夾。詳見第節(jié) “捕捉文件格式、模式設(shè)置”你可以點(diǎn)擊右側(cè)的按鈕打開瀏覽窗口設(shè)置文件存儲位置Use multiple files 如果指定條件達(dá)到臨界值，Wireshark將會自動生成一個新文件，而不是適用單獨(dú)文件。Next file every n megabyte(s) 僅適用選中Use multiple files,如果捕捉文件容量達(dá)到指定值，將會生成切換到新文件Next file every n minutes(s) 僅適用選中Use multiple files,如果捕捉文件持續(xù)時(shí)間達(dá)到指定值，將會切換到新文件。Ring buffer with n files 僅適用選中Use multiple files,僅生成制定數(shù)目的文件。Stop caputure after n file(s) 僅適用選中Use multiple files,當(dāng)生成指定數(shù)目文件時(shí)，在生成下一個文件時(shí)停止捕捉(生成n個還是n+1個文件?).停止捕捉楨... after n packet(s) 在捕捉到指定數(shù)目數(shù)據(jù)包后停止捕捉... after n megabytes(s) 在捕捉到指定容量的數(shù)據(jù)(byte(s)/kilobyte(s)/megabyte(s)/gigabyte(s) )后停止捕捉。如果沒有適用user multiple files,該選項(xiàng)將是灰色... after n minute(s) 在達(dá)到指定時(shí)間后停止捕捉.顯示楨選項(xiàng)Update list of packets in real time 在包列表面板實(shí)時(shí)更新捕捉數(shù)據(jù)。如果未選定該選項(xiàng)，在Wireshark捕捉結(jié)束之前將不能顯示數(shù)據(jù)。如果選中該選項(xiàng)，Wireshark將生成兩個獨(dú)立的進(jìn)程，通過捕捉進(jìn)程傳輸數(shù)據(jù)給顯示進(jìn)程。Automatic scrolling in live capture 指定Wireshark在有數(shù)據(jù)進(jìn)入時(shí)實(shí)時(shí)滾動包列表面板，這樣您將一直能看到最近的包。反之，則最新數(shù)據(jù)包會被放置在行末，但不會自動滾動面板。如果未設(shè)置update list of packets in real time,該選項(xiàng)將是灰色不可選的。Hide capture in