WireShark也可以如此美丽

概念

熟练使用Wireshark排除网络故障，抓包过滤器的用法，显示过滤器的用法，基本信息统计工具的用法，高级信息统计工具的用法，Expert Information工具的用法，Ethernet和LAN交换，无线LAN，网络层协议及其运作方式，传输层协议分析，FTP、HTTP/1和HTTP/2，DNS协议分析，E-mail协议分析，NetBIOS和SMB协议分析，企业网应用程序行为分析，排除SIP、多媒体及IP电话故障，排除由低带宽或高延迟所引发的故障，网络安全和网络取证等知识。

辅助知识

混杂模式：接收所有经过网卡的数据包，包括不是发给本机的包，即不验证MAC地址

普通模式：只接收发给本机的包传递给上层程序，其它包不很律不要；

常用过滤格式

一、IP过滤：包括来源IP或者目标IP等于某个IP

　　比如：

ip.src addr==192.168.0.208 or ip.src addr eq 192.168.0.208 显示来源IP

ip.dst addr==192.168.0.208 or ip.dst addr eq 192.168.0.208 显示目标IP

二、端口过滤：

　　比如：tcp.port eq 80 // 不管端口是来源的还是目标的都显示

　　　　tcp.port == 80

　　　　tcp.port eq 2722

　　　　tcp.port eq 80 or udp.port eq 80

　　　　tcp.dstport == 80 // 只显tcp协议的目标端口80

　　　　tcp.srcport == 80 // 只显tcp协议的来源端口80

　　过滤端口范围

　　　　tcp.port >= 1 and tcp.port <= 80

三、协议过滤：tcp

　　udp

　　arp

　　icmp

　　http

　　smtp

　　ftp

　　dns

　　msnms

　　ip

　　ssl

　　等等

　　排除ssl包，如!ssl 或者 not ssl

四、包长度过滤：

　　比如：

　　udp.length == 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之和

　　tcp.len >= 7 指的是ip数据包(tcp下面那块数据),不包括tcp本身

　　ip.len == 94 除了以太网头固定长度14,其它都算是ip.len,即从ip本身到最后

　　frame.len == 119 整个数据包长度,从eth开始到最后

五、http模式过滤：

　　例子:

　　　　http.request.method == “GET”

　　　　http.request.method == “POST”

　　　　http.request.uri == “/img/logo-edu.gif”

　　　　http contains “GET”

　　　　http contains “HTTP/1.”

　　　　// GET包

　　　　http.request.method == “GET” && http contains “Host: ”

　　　　http.request.method == “GET” && http contains “User-Agent: ”

　　　　// POST包

　　　　http.request.method == “POST” && http contains “Host: ”

　　　　http.request.method == “POST” && http contains “User-Agent: ”

　　　　// 响应包

　　　　http contains “HTTP/1.1 200 OK” && http contains “Content-Type: ”

　　　　http contains “HTTP/1.0 200 OK” && http contains “Content-Type: ”

　　一定包含如下

　　　　Content-Type:

六、连接符 and / or

七、表达式：

（arp.src==192.168.1.1) and !(arp.dst.proto_ipv4==192.168.1.243)

八、expert.message是用来对info信息过滤，主要配合contain来使用

九、两种 ARP过滤器的写法。

要让Wireshark只显示ARP请求帧，显示过滤器的写法为：

arp.opcode == 1

?要让Wireshark只显示ARP应答帧，显示过滤器的写法为：

arp.opcode == 2

畅游SSL协议流量

如果想在wireshark中浏览SSL流量，可通过以下操作：

1、在面板上选中协议“TLSv1.2" --右键”协议首选项“-->RSA key list....

2、在弹出框架“SSL Decrpt"窗口中添加密钥，如下图

3、选择第1步中记录，在下方进行解密，再右键追踪流，选择SSL流，就可以查看到解密后的内容

结合tshark使用

#：tshark -D //查看每个网卡的编号

#：tshark-s 512-i 4 //接下来我们使用第4块网卡来捕获数据，使用-s参数来表示只捕获数据包的前512个字节数据

#：tshark-s 512-i 4-f 'tcp dst port 80' //使用了目标端口为80的过滤器

#：tshark -r 2.pcap -T fields -e usb.capdata > 2.txt

#：tshark -r sqlmap.pcap -T fields -e http.request.full_uri |grep isg.flag > log2

# ：tshark -n -i wlan0mon subtype probereq //具过滤并查看探测请求

结合aricrack使用

#：aircrack-ng 文件名.cap //常规检查

#：aircrack-ng 文件名.cap -w pass.txt //常规检查+字典

┌──(rootkali)-[~/Desktop] //查询到密码后，通过下述命令进行解密数据包

└─# airdecap-ng cacosmia.cap -e mamawoxiangwantiequan -p 12345678

练习：

攻防世界：恶臭的数据包题，地址：https://adworld.xctf.org.cn/task/answer?type=misc&number=1&grade=1&id=5559&page=6

版权说明：请尊重原创版权，版权归本人所有。