抓包工具wireshark的使用

原创转转QA 转转QA

作者|刘宝成

一

前言

在我们日常的测试工作中，无论是做客户端还是服务端测试，都会经常用到抓包工具，以验证客户端和服务器之间发送的数据包是否正确等。Fiddler由于其入门简单，功能强大，已经成为了目前最主流的Web调试工具。

但Fiddler采用的是web代理的方式捕获数据包，并且只支持Windows平台，导致其使用场景受到一定的限制。而Wireshark是一款开源和跨平台的抓包工具。它通过调用操作系统底层的API，直接捕获网卡上的数据包，因此捕获的数据包更加详细，功能更加强大，但操作也相对繁琐一些。可以作为对Fiddler的一个较好的补充。

二

Wireshak的安装和基本使用

安装：直接通过官方下载对应的安装包即可https://www.wireshark.org/download.html

使用：

左上角为几个最常用的按钮：开始捕获、停止捕获、重新捕获、捕获选项
中间为捕获过滤器，用于过滤需要捕获的数据包
捕获过滤器下面可以选择需要捕获的网络连接

下图是用Wireshark捕获的数据包。可以看到，数据包结构是与OSI的七层模型相对应的，会详细显示每层的信息。

三

过滤器

由于Wireshark直接捕获底层网络数据包，导致其捕获的数据包数量通常较大。为了便于筛选数据包，Wireshark提供了两种过滤器。

1、捕获过滤器：用于设置什么样的数据包保存在捕获结果中，避免产生过大的日志文件。需要在开始捕获之前设置，相对简单

捕获过滤器语法如上，一般用于过滤协议、IP、端口等基本信息。例如：

显示目的TCP端口为8080的包
tcp dst port 8080
显示来源IP地址为192.168.171.201的封包
ip src host 192.168.171.201

2、显示过滤器：用于在捕获日志中查找数据包，可以在捕获过程中或者捕获后随时更改。功能更加强大和复杂

显示过滤器语法如上，比捕获过滤器更为强大，可以针对不同协议，过滤不同的字段。例如：

源地址是192.168.171.0网段的数据包
ip.src == 192.168.171.0/24
所有的HTTP POST请求
http.request.method== "POST"
显示包含TCP SYN标志的包
tcp.flags.syn == 0×02
URL中包含baidu的http请求
http.request.uri contains "baidu"

四

利用Wireshark分析HTTPS协议

1、什么是HTTPS

SSL/TLS：SSL (Secure Sockets Layer)，最初由Netscape公司设计，后来逐渐演变为TLS(Transport Layer Security Protocol)，即“传输层安全协议”。该协议工作在TCP层之上，应用层之下。在TCP连接完成后，进行通信双方的身份认证，并协商一些跟加密相关的工作。完成协商之后，就可以对双方发送的信息进行加密/解密了。

HTTPS：可以理解为HTTP over SSL/TLS。即在SSL/TLS协议之上运行HTTP协议，以保证通信的安全性。

2、SSL/TLS握手过程

SSL/TLS的握手过程主要需要解决两个问题：