Wireshark

基本介绍

Wireshark作为一款出色的网络协议分析工具，具有不错的兼容性，支持Unix和Windows等操作系统，能够帮助用户轻松查看当前的网络数据，同时还能对抓取的网络数据文件进行检测，功能十分丰富强大，并且完全免费开源，采用了图形化的界面打造，让用户有浏览数据更直观。

特色功能

软件特色

1.数据包捕获机制

底层依赖：

Windows：基于WinPcap/Npcap（NDIS中间层驱动）捕获数据包。

Linux/macOS：使用 libpcap（直接调用内核的PF_PACKET或BPF接口）。

混杂模式（Promiscuous Mode）：

网卡默认仅接收发往本机的数据包，开启混杂模式后可捕获同一局域网内所有流量（需管理员权限）。

2.协议解析引擎

分层解析：

Wireshark按OSI模型逐层解析数据包，从链路层（Ethernet Frame）到应用层（HTTP Payload）。

每个协议模块独立实现，支持动态加载（如仅在需要时解析QUIC协议）。

字段关联：

自动关联相关数据包（如点击HTTP请求可高亮显示对应的TCP ACK和响应包）。

3.性能优化技术

环形缓冲区（Ring Buffer）：

抓包时自动分片存储，避免单个文件过大导致性能下降。

多线程处理：

解析和显示分离，主线程负责UI交互，后台线程处理数据包分析。

硬件加速：

支持DPDK（Data Plane Development Kit），在支持的网络卡上实现零拷贝抓包，提升吞吐量。

软件功能

1.多协议支持与深度解析

协议覆盖：

支持超过3000种网络协议，涵盖从物理层（如Ethernet、Wi-Fi）到应用层（如HTTP、DNS、SMTP、MQTT）的全栈协议。

包括专有协议（如 Cisco EIGRP、Microsoft SMB）和加密协议（如TLS/SSL、IPsec，需配合密钥解密）。

解析深度：

逐层拆解数据包，展示字段值、协议交互流程（如TCP三次握手、HTTP请求/响应）。

支持自定义协议解析（通过Lua脚本扩展），满足特殊分析需求（如工业控制协议Modbus）。

2.实时抓包与离线分析

实时捕获：

从有线网卡（Ethernet）、无线网卡（Wi-Fi，需监听模式）、虚拟网卡（如VMware、VPN）捕获数据包。

支持多网卡同时抓包，便于对比不同链路的数据流。

离线分析：

可导入保存的抓包文件（.pcap、.pcapng格式），支持跨平台分析（Windows/Linux/macOS）。

文件大小无理论限制，可处理数GB的大型抓包文件（通过分片加载优化性能）。

3.强大的过滤与搜索功能

显示过滤器（Display Filter）：

基于协议字段、数值范围、逻辑运算符（如&&、||）实时过滤数据包。

示例：

http.request.method == "POST"：仅显示HTTP POST请求。

tcp.port == 443 && ip.addr == 192.168.1.1：过滤特定IP和端口的TLS流量。

捕获过滤器（Capture Filter）：

在抓包前设置，减少无关数据捕获（基于BPF语法，如host 192.168.1.100 and port 80）。

高级搜索：

支持正则表达式搜索数据包内容（如查找敏感信息 credit_card=d{16}）。

4.数据可视化与统计

图表工具：

IO Graph：实时绘制网络流量趋势（如按协议、IP、端口分组）。

TCP Stream Graph：分析TCP重传、乱序、窗口大小变化。

协议分层统计：展示各协议占比（如HTTP占60%、DNS占10%）。

地理定位：

结合MaxMind GeoIP数据库，在地图上标注IP地址的物理位置（需手动配置数据库）。

5.导出与协作功能

数据导出：

支持导出为CSV、XML、JSON格式，便于与其他工具（如Excel、Python脚本）集成分析。

可导出特定协议字段（如提取所有HTTP URL或DNS查询记录）。

协作分析：

通过Wireshark的远程捕获功能（如SSH隧道或RPCAP），团队可共享抓包数据。