关键词：
1. 软件概述（谁开发的？什么时候？）
wireshark是目前全球使用最广泛的开源抓包软件（前身为Ethereal），由Gerald Combs编写并与1998年以GPL开源许可证发布。能在多种平台上抓取和分析网络包。图形界面非常友好，也可以使用命令行形式: TShark 。
wireshark是一款网络嗅探工具。可以监视网络的状态、数据流动情况以及网络上传输的信息。
Wireshark不仅支持上百种网络协议的解析（如网络基础协议：ARP, DNS, DHCP; 数据传输协议：TCP, UDP; 高级应用协议：HTTP, SMTP/POP3, SMB等），还提供了大量分析功能，能满足不同用户的数据分析需求。
有些协议比较复杂，如用于身份认证的Kerberos，也可以用Wireshark进行分析。
2. 软件功能（可以用来干什么？）
作用：
1、分析网络底层协议；
2、解决网络故障问题；
3、找寻网络安全问题；
原理：当信息以明文的形式在网络上传输时，便可以使用网络监听的方式来进行攻击。将网络接口设置在监听模式，便可以将网上传输的源源不断的信息截获。嗅探技术常常用于网络故障诊断、协议分析、应用性能分析和网络安全保障等各个领域。
3. 适合人群（什么人在用？）
网络管理员，网络工程师，安全工程师，IT运维工程师等
4. 平台支持（能在什么平台跑？）
Windows, MacOS, Linux/Unix
5. 相关网址（哪里下载？哪里学习？）
官网：https://www.wireshark.org/
书籍推荐：https://www.chappell-university.com/
wiki帮助页面：https://wiki.wireshark.org/
6. 相关软件（类似软件推荐）
Sniffer, Omnipeek, Fidder, Httpwatch, 科来网络分析系统。
7. 抓包界面介绍
说明：数据包列表区中不同的协议使用了不同的颜色区分。协议颜色标识定位在菜单栏View --> Coloring Rules。
mac电脑中的界面：
1、Display Filter(显示过滤器)， 用于设置过滤条件进行数据包列表过滤。菜单路径：Analyze --> Display Filters。
2、Packet List Pane(数据包列表)， 显示捕获到的数据包，每个数据包包含编号，时间截，源地址，目标地址，协议，长度，以及数据包信息。 不同协议的数据包使用了不同的颜色区分显示。
3、Packet Details Pane(数据包详细信息), 在数据包列表中选择指定数据包，在数据包详细信息中会显示数据包的所有详细信息内容。**数据包详细信息面板是最重要的，用来查看协议中的每一个字段。**各行信息分别为
（1）Frame: 物理层的数据帧概况
（2）Ethernet II: 数据链路层以太网帧头部信息
（3）Internet Protocol Version 4: 互联网层IP包头部信息
（4）Transmission Control Protocol: 传输层T的数据段头部信息，此处是TCP
（5）Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协议
4、 Dissector Pane(16进制数据)
5、 Miscellanous(地址栏，杂项)
8. TCP包的具体内容
从下图可以看到wireshark捕获到的TCP包中的每个字段。
在TCP层，有个Flags字段，这个字段有以下几个标识：SYN, FIN, ACK, PSH, RST, URG。
其中，对于我们日常的分析有用的就是前面的五个字段。它们的含义是：
SYN：表示建立连接，
FIN：表示关闭连接，
ACK：表示响应，
PSH：表示有DATA数据传输，
RST：表示连接重置。
9. Wireshark过滤器设置
初学者使用wireshark时，将会得到大量的冗余数据包列表，以至于很难找到自己自己抓取的数据包部分。wireshar工具中自带了两种类型的过滤器，学会使用这两种过滤器会帮助我们在大量的数据中迅速找到我们需要的信息。
（1）抓包过滤器
捕获过滤器的菜单栏路径为Capture --> Capture Filters。用于在抓取数据包前设置。如何使用？可以在抓取数据包前设置如下。
ip host 60.207.246.216 and icmp 表示只捕获主机IP为60.207.246.216的ICMP数据包。获取结果如下：
（2）显示过滤器
显示过滤器是用于在抓取数据包后设置过滤条件进行过滤数据包。通常是在抓取数据包时设置条件相对宽泛，抓取的数据包内容较多时使用显示过滤器设置条件过滤以方便分析。通过设置显示器过滤条件进行提取分析信息。
下图表示用ip.addr == 211.162.2.183 and icmp 进行过滤。
在组网不复杂或者流量不大情况下，使用显示器过滤器进行抓包后处理就可以满足我们使用。
10. wireshark过滤器表达式的规则
1、抓包过滤器语法和实例
抓包过滤器类型Type（host、net、port）、方向Dir（src、dst）、协议Proto（ether、ip、tcp、udp、http、icmp、ftp等）、逻辑运算符（&& 与、|| 或、！非）
（1）协议过滤
比较简单，直接在抓包过滤框中直接输入协议名即可。
tcp，只显示TCP协议的数据包列表
http，只查看HTTP协议的数据包列表
icmp，只显示ICMP协议的数据包列表
（2）IP过滤
host 192.168.1.104
src host 192.168.1.104
dst host 192.168.1.104
（3）端口过滤
port 80
src port 80
dst port 80
（4）逻辑运算符&& 与、|| 或、！非
src host 192.168.1.104 && dst port 80 抓取主机地址为192.168.1.80、目的端口为80的数据包
host 192.168.1.104 || host 192.168.1.102 抓取主机为192.168.1.104或者192.168.1.102的数据包
！broadcast 不抓取广播数据包
2、显示过滤器语法和实例
（1）比较操作符
比较操作符有== 等于、！= 不等于、> 大于、< 小于、>= 大于等于、<=小于等于。
（2）协议过滤
比较简单，直接在Filter框中直接输入协议名即可。注意：协议名称需要输入小写。
tcp，只显示TCP协议的数据包列表
http，只查看HTTP协议的数据包列表
icmp，只显示ICMP协议的数据包列表
（3） ip过滤
ip.src ==192.168.1.104 显示源地址为192.168.1.104的数据包列表
ip.dst==192.168.1.104, 显示目标地址为192.168.1.104的数据包列表
ip.addr == 192.168.1.104 显示源IP地址或目标IP地址为192.168.1.104的数据包列表
（4）端口过滤
tcp.port ==80, 显示源主机或者目的主机端口为80的数据包列表。
tcp.srcport == 80, 只显示TCP协议的源主机端口为80的数据包列表。
tcp.dstport == 80，只显示TCP协议的目的主机端口为80的数据包列表。
（5） Http模式过滤
http.request.method==“GET”, 只显示HTTP GET方法的。
（6）逻辑运算符为 and/or/not
过滤多个条件组合时，使用and/or。比如获取IP地址为192.168.1.104的ICMP数据包表达式为：ip.addr == 192.168.1.104 and icmp
11. Wireshark抓包分析TCP三次握手
（1）TCP三次握手连接建立过程
Step1：客户端发送一个SYN=1，ACK=0标志的数据包给服务端，请求进行连接，这是第一次握手；
Step2：服务端收到请求并且允许连接的话，就会发送一个SYN=1，ACK=1标志的数据包给发送端，告诉它，可以通讯了，并且让客户端发送一个确认数据包，这是第二次握手；
Step3：服务端发送一个SYN=0，ACK=1的数据包给客户端端，告诉它连接已被确认，这就是第三次握手。TCP连接建立，开始通讯。
（2）wireshark抓包获取访问指定服务端数据包
Step1：启动wireshark抓包，打开浏览器输入www.huawei.com。
Step2：使用 ping www.huawei.com 获取IP。
Step3：输入过滤条件获取待分析数据包列表 ip.addr == 211.162.2.183
图中可以看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的， 这说明HTTP的确是使用TCP建立连接的。
第一次握手数据包
客户端发送一个TCP，标志位为SYN，序列号为0， 代表客户端请求建立连接。 如下图。
数据包的关键属性如下：
SYN ：标志位，表示请求建立连接
Seq = 0 ：初始建立连接值为0，数据包的相对序列号从0开始，表示当前还没有发送数据
Ack =0：初始建立连接值为0，已经收到包的数量，表示当前没有接收到数据
第二次握手的数据包
服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的I S N加1以.即0+1=1, 如下图
数据包的关键属性如下：
[SYN + ACK]: 标志位，同意建立连接，并回送SYN+ACK
Seq = 0 ：初始建立值为0，表示当前还没有发送数据
Ack = 1：表示当前端成功接收的数据位数，虽然客户端没有发送任何有效数据，确认号还是被加1，因为包含SYN或FIN标志位。（并不会对有效数据的计数产生影响，因为含有SYN或FIN标志位的包并不携带有效数据）
第三次握手的数据包
客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1, 如下图:
数据包的关键属性如下：
ACK ：标志位，表示已经收到记录
Seq = 1 ：表示当前已经发送1个数据
Ack = 1 : 表示当前端成功接收的数据位数，虽然服务端没有发送任何有效数据，确认号还是被加1，因为包含SYN或FIN标志位（并不会对有效数据的计数产生影响，因为含有SYN或FIN标志位的包并不携带有效数据)。
就这样通过了TCP三次握手，建立了连接。开始进行数据交互
部分参考博客：[https://www.cnblogs.com/linyfeng/p/9496126.html](https://www.cnblogs.com/linyfeng/p/9496126.html
12. 从Wireshark看网络分层
应用层（NFS头+Data）：由于NFS是基于RPC协议，所以Wireshark把它分成NFS和RFC两行来显示。
传输层（TCP头+NFS头+Data）： 这一层用到了TCP协议，应用层所产生的数据就是有TCP来控制传输的。
网络层（IP头+TCP头+NFS头+Data）：主要任务是把TCP层传下来的数据加上目标地址和源地址。有了目标地址，数据才可能送达接收方，有了源地址，接收方才知道发送方是谁。
数据链路层（以太帧头+IP头+TCP头+NFS头+Data）：可以看到相邻两个设备的MAC地址。
13. 调整数据包列表中时间戳显示格式
调整方法为View -->Time Display Format --> Date and Time of Day。调整后格式如下：
wireshark经典实践和面试13点总结(代码片段)
1.软件概述（谁开发的？什么时候？）wireshark是目前全球使用最广泛的开源抓包软件（前身为Ethereal），由GeraldCombs编写并与1998年以GPL开源许可证发布。能在多种平台上抓取和分析网络包。图形界面非常... 查看详情
101道经典javascript面试题总结(附答案，建议收藏)(代码片段)
最近在整理JavaScript的时候发现遇到了很多面试中常见的面试题，本部分主要是作者在Github等各大论坛收录的JavaScript相关知识和一些相关面试题时所做的笔记，分享这份总结给大家，对大家对JavaScript的可以来一次全方... 查看详情
101道经典javascript面试题总结(附答案，建议收藏)(代码片段)
最近在整理JavaScript的时候发现遇到了很多面试中常见的面试题，本部分主要是作者在Github等各大论坛收录的JavaScript相关知识和一些相关面试题时所做的笔记，分享这份总结给大家，对大家对JavaScript的可以来一次全方... 查看详情
java经典面试题总结
Java经典面试题总结继续更新，有需要的小伙伴可以路过不要错过了！看上一篇面试题总结的反响还是很不错的，就继续更新了，也非常感谢各位小伙伴的持续关注……这次更偏基础一些！1、String和StringBuffer的区别?答：JAVA平台... 查看详情
vue经典面试题总结——目录(代码片段)
Vue核心知识点1、对于Vue是一套渐进式框架的理解2、vue.js的两个核心是什么？3、请问 v-if 和 v-show 有什么区别4、vue常用的修饰符5、v-on可以监听多个方法吗？6、vue中 key 值的作用7、vue-cli工程升级vue版本8、v... 查看详情
101道经典javascript面试题总结(附答案，建议收藏)(代码片段)
最近在整理JavaScript的时候发现遇到了很多面试中常见的面试题，本部分主要是作者在Github等各大论坛收录的JavaScript相关知识和一些相关面试题时所做的笔记，分享这份总结给大家，对大家对JavaScript的可以来一次全方... 查看详情
关于面试总结6-sql经典面试题(代码片段)
...门课都大于80分的学生姓名，这个是面试考sql的一个非常经典的面试题having和notin查询xuesheng表每门课都大于80分的学生姓名namekechengscore张三语文81张三数学73李四语文86李四数学90王五数学89王五语文88王五英语96解决办法一：having... 查看详情
周末2w字总结java--mybatis经典面试题《王者笔记收藏版》(代码片段)
...、SpringBoot、SpringCloud、等技术栈。下面就具体看看有哪些经典 查看详情
android中利用手机抓包的方法，经典篇
...，并对其使用方法进行实践笔者认为在抓包界，Wireshark应该算是综合排名第一的工具（其实Wireshark自带的命令行工具tshark更牛逼）本文总结记录了5种抓包方式，掌握其一即可进行实践，欢 查看详情
8万字205道android经典面试题总结（附参考答案），经典好文
本人目前在一家知名外企担任架构师，在深耕Android领域的八年来，我曾在多家外企和互联网公司担任Android技术面试官，前后累计面试了有三百位左右候选人，对于行业和企业的招聘要求相对清楚，也非常熟悉... 查看详情
java经典面试题总结
不知不觉中，已经将面试题更新了好几篇了，庞大的java面试题库，想要刷完似乎不大可能，需要一点一点的积累。1、java中会存在内存泄漏吗，请简单描述。答：会；存在无用但可达的对象，这些对象不能被GC回收，导致耗费内... 查看详情
算法总结(代码片段)
前言 查找和排序算法是算法的入门知识，其经典思想可以用于很多算法当中。因为其实现代码较短，应用较常见。所以在面试中经常会问到排序算法及其相关的问题。但万变不离其宗，只要熟悉了思想，灵活运用也不是难事... 查看详情
面试中的排序算法总结
查找和排序算法是算法的入门知识，其经典思想可以用于很多算法当中。因为其实现代码较短，应用较常见。所以在面试中经常会问到排序算法及其相关的问题。但万变不离其宗，只要熟悉了思想，灵活运用也不是难事。一般在... 查看详情
aop编程实践总结
...可重用模块，并将其名为“Aspect”，即方面。AOP应用AOP的经典运用应该是spring中应用，在spring中是基于动态代理来实现AOP的，它的功能也更强大，可以完全实现不侵入业务代码。AOP的另外一种应用是有侵入式的，但是只需要侵入... 查看详情
全网最经典26道spring面试题总结，深入剖析
1.Redis面试专题绝大部分写业务的程序员，在实际开发中使用Redis的时候，只会SetValue和GetValue两个操作，对Redis整体缺乏一个认知。这里以面试题的形式对Redis常见问题做一个总结，解决大家的知识盲点。什么是Redis... 查看详情
计算机网络面试大总结(代码片段)
...，最后总结网络综合面试题，历时六天全文一千字。其他经典面试题参考程序员田同学一、总纲写过代码的同学就多多少少接触过GET、POST、HTTP、TCP等名词，很多基础不扎实的同学并不知道它们都是什么东西，其实这些名词都是... 查看详情
leetcode刷题日记(2020.7.13)程序员面试经典:消失的两个数字(代码片段)
题目描述如下： 分析如下：此题目乍一看挺难的没有思路，其实很简单，他要找消失的两个数字，那么也及时其实原数组应该是在现有输入数组的基础上加上两个数字，此时range()函数就可以上场了，但是很多人说... 查看详情
98道经典vue面试题总结（长期更新）(代码片段)
写在前面参考答案在看云平台发布，如果大家想阅读参考答案，可直接购买，看云平台50个免费开通权限已经使用完毕，感谢大家的支持！有什么意见与建议欢迎您及时联系作者或留言回复！Vue开发交流微信群：(二维码定期更新... 查看详情