wireshark零基础使用教程

打开wireshark 选择要捕获（抓包 ）的接口，点击进去

注意前3个，开始抓包、停止抓包、重新开始抓包

点击视图  勾选 过滤器工具栏；时间显示格式选择第一种形式

常用过滤命令：

ip地址过滤：ip.addr==x.x.x.x; ip.src == x.x.x.x; ip.dst == x.x.x.x

端口过滤：tcp.port == 80

协议过滤：icmp\tcp\udp\dns\ssh\http..

条件组合:&(与)、||(或)、!(非)

特殊过滤技巧：

查找包含特定 string 的数据帧: frame contains “xxx” （快速粗暴–用于查找数据包中包含特定字串的帧。它会检查数据包的负载部分，寻找指定的字符串，而不考虑协议或字段类型）

tcp.payload[0] == 0x16 && tcp.payload[1] == 0x03

查找包含特定16进制的数据帧: tcp contains 92:00:00

http.request.line contains “xxx”

http.request.uri contains “xxx”

ssl.handshake.type == 1

wireshark过滤出https首包跟tls版本号1.0的数据包：

ssl.record.content_type == 22 && ssl.record.version == 0x0301

指定ip

指定源ip

指定目的ip

指定ip跟80端口

指定ip跟tcp协议

目的ip为180.101.51.73或者223.5.5.5的包

常用过滤命令不需要记住

选中对应字段，右键 作为过滤器应用，选中~ 就会在过滤器中显示出你要刷选的内容~

wireshark导出抓选的特定的流量并保存

文件->导出特定分组

wireshark追踪流（是非常实用的功能，可以帮你快速查看某一条 TCP/HTTP 等连接的完整会话内容）

wireshark会话着色，默认ctrl+空格 关闭，视图->对话着色->重置着色也可以关闭

wireshark增加列

wireshark统计