Linux 网络分析 Wireshark

2024-01-30 15:28

本文主要是介绍Linux 网络分析 Wireshark,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

这篇记录一些 Wireshark 的使用操作,有兴趣的建议看看 《Wireshark网络分析就这么简单》 写的很好,有趣能看进去。

Wireshare 是一个常用的并且很强大网络包分析软件,可以抓包也可以导入tcpdump的导出数据分析。pcap 这个后缀的文件可以用 wireshark 分析。

过滤包

我们打开 Wireshark 后会列出所有的网络接口,可以双击我们需要抓包的网络接口,有个红色的图表点击就会暂停抓取,或者把抓包结果直接拖进来进行分析。但是很多时候会有非常多的包,需要过滤。

包号过滤

frame.number > 23160

ip和端口过滤

如果过滤条件语句写法不对,输入框会是红色的,不过可以继续写,结束还是红的表示不对

# 与 192.0.2.1 交互,并且端口不在 不是80 和 25 
ip.addr == 192.0.2.1 and not tcp.port in {80,25}

 延迟确认

获取超过200毫秒的确认包

tcp.analysis.ack_rtt >0.2 && tcp.len==0

TCP连接失败

建议在客户端和服务器都抓包

在启用Relative Sequence Numbers的情况下,获取握手被对方拒绝的包,例如访问未监听的端口

tcp.flags.reset==1 && tcp.seq==1

过滤重传的握手请求

tcp.flags.syn==1 && tcp.analysis.retransmission

然后再右键,追踪流(TCP) Fllow TCP Stream

常用操作

分析》专家信息》(Analysis > Expert Info)

Charts

关于正常通信的基本信息

1、窗口更新(window update):由接收者发送,用来通知发送者TCP接收窗口的大小已经发生变化

Note

正常通信时的异常数据包

1、TCP重传(retransmission):数据包丢失的结果。发生在收到重传的ACK,或者数据包的重传计时器超时的时候。

2、重复ACK(Duplicate ACK ):当一台主机没有收到下一个期望序列号的数据包时,会生成最近一次收到的数据的重复ACK

3、零窗口探查:在一个零窗口包被发送出去后,用来监视TCP接收窗口的状态

4、保活ACK(ACK to Tcp keep-alive):用来响应保活数据包

5、零窗口探查ACK:用来响应零窗口探查数据包

6、窗口已满:用来通知传输主机接受者的TCP窗口已满

Warning

不是正常通信中的异常数据包

1、上一段丢失:指明数据包丢失。发生在当数据流中一个期望序列号被跳过时。

2、收到丢失数据包的ACK:发生在当一个数据包被确认丢失但在之后收到了这个已经被确认丢失的数据包的ACK数据包

3、保活:当一个连接的保活数据出现时触发

4、零窗口:当接收方已经达到TCP接收窗口大小时,发出一个零窗口通知,要求发送方停止传输数据

5、乱序:当数据包被乱序接收时,会利用序列号进行检测

6、快速重传输:一次重传会在收到一个重复ACK的20毫秒内进行

Error

数据包中的错误,或者解析器解析时的错误

wireshark三板斧

Statistics >> Summary (统计》捕获文件属性)

Analysis >> Expert Infos (分析》专家信息)

Statistics >> Tcp Stream Graph >> Tcp Sequence Graph(Stevens) (统计》TCP流图形》时间序列) 

查看 统计》协议分级统计

可以查看协议所属层级以及协议关联关系

常见信息:

  • TCP Out-of-Order 乱序
  • TCP Dup ACK 重复ACK
  • TCP Fast retransmission 快速重传
  • TCP retransmission 超时重传
  • TCP zerowindow 缓存区已满,发送这个包的地址暂时不能接收数据
  • TCP window Full  把对方发送窗口耗尽,暂时无法发送数据

其他

1500 MTU探测

ping serverip -l 1472 -f 可以测试MTU大致的值,前提是ICMP未被禁用

因为1472+8(ICMP头)+20(IP头) = 1500

-f 表示DF(Don't fragment 不要分片),大于MTU并且不分片就会被丢弃

注意看TTL,表示包经过的路由次数,可以定位包的发送过来的设备,初始值一般是64

Linux 上抓包

tcpdump -i eth0 -n tcp port 80 抓取eth0 的80口的TCP协议

远程后台执行 sudo nohup tcpdump -i eth0 -w test.pcap >/dev/null 2>&1  &

这篇关于Linux 网络分析 Wireshark的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/660677

相关文章

Linux之systemV共享内存方式

《Linux之systemV共享内存方式》:本文主要介绍Linux之systemV共享内存方式,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录一、工作原理二、系统调用接口1、申请共享内存(一)key的获取(二)共享内存的申请2、将共享内存段连接到进程地址空间3、将

快速修复一个Panic的Linux内核的技巧

《快速修复一个Panic的Linux内核的技巧》Linux系统中运行了不当的mkinitcpio操作导致内核文件不能正常工作,重启的时候,内核启动中止于Panic状态,该怎么解决这个问题呢?下面我们就... 感谢China编程(www.chinasem.cn)网友 鸢一雨音 的投稿写这篇文章是有原因的。为了配置完

Linux命令之firewalld的用法

《Linux命令之firewalld的用法》:本文主要介绍Linux命令之firewalld的用法,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录linux命令之firewalld1、程序包2、启动firewalld3、配置文件4、firewalld规则定义的九大

Linux之计划任务和调度命令at/cron详解

《Linux之计划任务和调度命令at/cron详解》:本文主要介绍Linux之计划任务和调度命令at/cron的使用,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录linux计划任务和调度命令at/cron一、计划任务二、命令{at}介绍三、命令语法及功能 :at

Linux下如何使用C++获取硬件信息

《Linux下如何使用C++获取硬件信息》这篇文章主要为大家详细介绍了如何使用C++实现获取CPU,主板,磁盘,BIOS信息等硬件信息,文中的示例代码讲解详细,感兴趣的小伙伴可以了解下... 目录方法获取CPU信息:读取"/proc/cpuinfo"文件获取磁盘信息:读取"/proc/diskstats"文

Linux内核参数配置与验证详细指南

《Linux内核参数配置与验证详细指南》在Linux系统运维和性能优化中,内核参数(sysctl)的配置至关重要,本文主要来聊聊如何配置与验证这些Linux内核参数,希望对大家有一定的帮助... 目录1. 引言2. 内核参数的作用3. 如何设置内核参数3.1 临时设置(重启失效)3.2 永久设置(重启仍生效

kali linux 无法登录root的问题及解决方法

《kalilinux无法登录root的问题及解决方法》:本文主要介绍kalilinux无法登录root的问题及解决方法,本文给大家介绍的非常详细,对大家的学习或工作具有一定的参考借鉴价值,... 目录kali linux 无法登录root1、问题描述1.1、本地登录root1.2、ssh远程登录root2、

Linux ls命令操作详解

《Linuxls命令操作详解》通过ls命令,我们可以查看指定目录下的文件和子目录,并结合不同的选项获取详细的文件信息,如权限、大小、修改时间等,:本文主要介绍Linuxls命令详解,需要的朋友可... 目录1. 命令简介2. 命令的基本语法和用法2.1 语法格式2.2 使用示例2.2.1 列出当前目录下的文

Linux中的计划任务(crontab)使用方式

《Linux中的计划任务(crontab)使用方式》:本文主要介绍Linux中的计划任务(crontab)使用方式,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录一、前言1、linux的起源与发展2、什么是计划任务(crontab)二、crontab基础1、cro

Linux换行符的使用方法详解

《Linux换行符的使用方法详解》本文介绍了Linux中常用的换行符LF及其在文件中的表示,展示了如何使用sed命令替换换行符,并列举了与换行符处理相关的Linux命令,通过代码讲解的非常详细,需要的... 目录简介检测文件中的换行符使用 cat -A 查看换行符使用 od -c 检查字符换行符格式转换将