【Wireshark】常用的几个使用技巧

admin 2023年1月1日16:03:35安全工具评论9 views1342字阅读4分28秒阅读模式


一:数据包过滤

过滤需要的IP地址 ip.addr==
【Wireshark】常用的几个使用技巧
在数据包过滤的基础上过滤协议ip.addr==xxx.xxx.xxx.xxx and tcp
【Wireshark】常用的几个使用技巧
过滤端口ip.addr==xxx.xxx.xxx.xxx and http and tcp.port==80
【Wireshark】常用的几个使用技巧
指定源地址 目的地址ip.src==xxx.xxx.xxx.xxx and ip.dst==xxx.xxx.xxx.xxx
【Wireshark】常用的几个使用技巧
SEQ字段(序列号)过滤(定位丢包问题)
TCP数据包都是有序列号的,在定位问题的时候,我们可以根据这个字段来给TCP报文排序,发现哪个数据包丢失。
SEQ分为相对序列号和绝对序列号,默认是相对序列号显示就是0 1不便于查看,修改成绝对序列号方法请参考第三式。
【Wireshark】常用的几个使用技巧

二:修改数据包时间显示方式

有些同学抓出来的数据包,时间显示的方式不对,不便于查看出现问题的时间点,可以通过View---time display format来进行修改。
修改前:
【Wireshark】常用的几个使用技巧
修改后:
【Wireshark】常用的几个使用技巧
【Wireshark】常用的几个使用技巧

三:确认数据报文顺序

有一些特殊情况,客户的业务源目的IP 源目的端口 源目的mac 都是一样的,有部分业务出现业务不通,我们在交换机上做流统计就不行了,如下图网络架构。箭头是数据流的走向,交换机上作了相关策略PC是不能直接访问SER的。
【Wireshark】常用的几个使用技巧
那我们在排查这个问题的时候,我们要了解客户的业务模型和所使用得协议,很巧合这个业务是WEB。我们从而知道TCP报文字段里是有序列号的,我们可以把它当做唯一标示来进行分析,也可以通过序列号进行排序。
一般抓出来的都是相对序列号0 1不容易分析,这里我们通过如下方式进行修改为绝对序列号。
Edit-----preference------protocols----tcp---relative sequence numbers
【Wireshark】常用的几个使用技巧
修改参数如下:
【Wireshark】常用的几个使用技巧
我拿TCP协议举例
【Wireshark】常用的几个使用技巧
把TCP的这个选项去除掉
【Wireshark】常用的几个使用技巧
最后的效果:
【Wireshark】常用的几个使用技巧

四:过滤出来的数据包保存

我们抓取数据包的时候数据量很大,但对于我们有用的只有几个,我们按条件过滤之后,可以把过滤后的数据包单独保存出来,便于以后来查看。
【Wireshark】常用的几个使用技巧
【Wireshark】常用的几个使用技巧

五:数据包计数统计

网络里有泛洪攻击的时候,我们可以通过抓包进行数据包个数的统计,来发现哪些数据包较多来进行分析。
【Wireshark】常用的几个使用技巧
Statistics------conversations
【Wireshark】常用的几个使用技巧

六:数据包解码

IPS发送攻击日至和防病毒日志信息端口号都是30514,SecCenter上只显示攻击日志,不显示防病毒日志。查看IPS本地有病毒日志,我们可以通过在SecCenter抓包分析确定数据包是否发送过来。
发过来的数据量比较大,而且无法直接看出是IPS日志还是AV日志,我们先把数据包解码。
(由于没有IPS的日志抓包信息,暂用其他代替)
解码前:
【Wireshark】常用的几个使用技巧
解码操作:
【Wireshark】常用的几个使用技巧
【Wireshark】常用的几个使用技巧
解码后:
【Wireshark】常用的几个使用技巧

七:TCP数据报文跟踪

查看TCP的交互过程,把数据包整个交互过程提取出来,便于快速整理分析。
【Wireshark】常用的几个使用技巧
【Wireshark】常用的几个使用技巧

八:通过Wireshark来查看设备的厂家

查看无线干扰源的时候,我们可以看出干扰源的mac地址,我们可以通过Wireshark来查找是哪个厂商的设备,便于我们快速寻找干扰源。
例如:mac地址是A4-4E-31-30-0B-E0
【Wireshark】常用的几个使用技巧
我们通过Wireshark安装目录下的manuf文件来查找
【Wireshark】常用的几个使用技巧

来源:华三官网

wireshark工具使用

【Wireshark】常用的几个使用技巧

原文始发于微信公众号(电子物证):【Wireshark】常用的几个使用技巧

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年1月1日16:03:35
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【Wireshark】常用的几个使用技巧 https://cn-sec.com/archives/1489283.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: