wireshark初相识二

使用 Wireshark 选择需要抓包的网络方式，并设置过滤器条件，当有数据通信后即可抓到对应的数据包，这里将分析其每一帧数据包的结构。

以HTTP协议为例，一帧数据包一般包括以下几个部分：

• Frame：物理层的数据帧情况。


• Ethernet II ：数据链路层以太网帧头部信息。


• Internet Protocol Version 4：以太网协议层。


• Transmission Control Protocol：传输控制协议。


• HyperText Transfer Protocol：超文本传输协议。

对于各种协议而言，前三层基本一样，第四层开始就可以出现TCP, UDP 协议，第五层就有HTTP 应用层协议等。

第一层：Frame:（物理层）

1 // 第8056帧，有507个字节在线，共4056位，实际在接口0上捕获到507个字节
2 Frame 8056: 507 bytes on wire (4056 bits), 507 bytes captured (4056 bits) on interface 0
3 // 接口ID：0
4 Interface id: 0 (\Device\NPF_{7920DB7B-B8DB-417F-8C85-72E6DCCD61C5})
5 // 封装类型
6 Encapsulation type: Ethernet (1)
7 // 到达时间
8 Arrival Time: Aug 8, 2019 15:45:00.750794000 中国标准时间
9 // 包偏移量
10 [Time shift for this packet: 0.000000000 seconds]
11 // 新纪元时间
12 Epoch Time: 1565250300.750794000 seconds
13 // 两帧之间的时间间隔
14 [Time delta from previous captured frame: 0.000326000 seconds]
15 // 捕获到显示的时间间隔
16 [Time delta from previous displayed frame: 0.126423000 seconds]
17 // 此帧与第一帧的时间间隔
18 [Time since reference or first frame: 197.144051000 seconds]
19 // 帧号
20 Frame Number: 8056
21 // 帧长度
22 Frame Length: 507 bytes (4056 bits)
23 // 捕获的帧长度
24 Capture Length: 507 bytes (4056 bits)
25 // 帧是否标记
26 [Frame is marked: False]
27 // 帧是否忽略
28 [Frame is ignored: False]
29 // 帧内封装的协议层次结构
30 [Protocols in frame: eth:ethertype:ip:tcp:http]
31 // 着色标记的协议
32 [Coloring Rule Name: HTTP]
33 // 着色规则显示的字符串
34 [Coloring Rule String: http || tcp.port == 80 || http2]

第二层：Ethernet II （数据链路层以太网帧头部信息）

1 // 源MAC地址：TexasIns_ce:a9:4b (68:c9:0b:ce:a9:4b)
2 // 目标MAC地址：AplexTec_0d:4e (40:d8:55:16:ad:4e)
3 Ethernet II, Src: AsustekC_4d:bc:f2 (70:8b:cd:4d:bc:f2), Dst: Hangzhou_91:be:b8 (d4:61:fe:91:be:b8)
4 // 目标MAC地址
5 Destination: Hangzhou_91:be:b8 (d4:61:fe:91:be:b8)
6 // 源MAC地址
7 Source: AsustekC_4d:bc:f2 (70:8b:cd:4d:bc:f2)
8 // IP类型
9 Type: IPv4 (0x0800)

 第三层：Internet Protocol Version 4（以太网协议层）

1 // IPv4 协议，源IP：192.168.1.50， 目的IP：111.202.102.36
2 Internet Protocol Version 4, Src: 192.168.1.50, Dst: 111.202.102.36
3 // 版本4
4 0100 .... = Version: 4
5 // 头长度20字节
6 .... 0101 = Header Length: 20 bytes (5)
7 // 差分服务字段
8 Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)
9 // 总长度
10 Total Length: 493
11 // 鉴别
12 Identification: 0x90c2 (37058)
13 // 标志
14 Flags: 0x4000, Don't fragment
15 // 生存期
16 Time to live: 64
17 // 协议名称
18 Protocol: TCP (6)
19 // 头部校验和
20 Header checksum: 0x0000 [validation disabled]
21 // 头部校验和检测状态
22 [Header checksum status: Unverified]
23 // 源IP
24 Source: 192.168.1.50
25 // 目标IP
26 Destination: 111.202.102.36

第四层：Transmission Control Protocol（传输控制协议）

1 // 传输控制协议，源端口：4434，目标端口：80，序号1，确认号：1，长度：453
2 Transmission Control Protocol, Src Port: 4434, Dst Port: 80, Seq: 1, Ack: 1, Len: 453
3 // 源端口：4434
4 Source Port: 4434
5 // 目标端口：80
6 Destination Port: 80
7 // 流索引
8 [Stream index: 105]
9 // TCP段长度
10 [TCP Segment Len: 453]
11 // 序号
12 Sequence number: 1 (relative sequence number)
13 // 下一个序号
14 [Next sequence number: 454 (relative sequence number)]
15 // 确认号
16 Acknowledgment number: 1 (relative ack number)
17 // 头部长度
18 0101 .... = Header Length: 20 bytes (5)
19 // 标记
20 Flags: 0x018 (PSH, ACK)
21 // 窗口大小
22 Window size value: 32768
23 // 计算窗口大小
24 [Calculated window size: 262144]
25 // 窗口大小乘积因子
26 [Window size scaling factor: 8]
27 // 校验和
28 Checksum: 0x99a8 [unverified]
29 // 校验和监测状态
30 [Checksum Status: Unverified]
31 // 紧急指针
32 Urgent pointer: 0
33 [SEQ/ACK analysis]
34 [Timestamps]
35 // TCP负载
36 TCP payload (453 bytes)

第五层：HyperText Transfer Protocol（超文本传输协议）

1 // 超文本传输协议（HTML）
2 Hypertext Transfer Protocol
3 // POST请求
4 POST /q HTTP/1.1\r\n
5 // 缓存控制
6 Cache-Control: no-cache\r\n
7 // 连接类型
8 Connection: Keep-Alive\r\n
9 // 编辑注解
10 Pragma: no-cache\r\n
11 // 用户代理
12 User-Agent: SESC\r\n
13 // 内容长度
14 Content-Length: 719\r\n
15 [Content length: 719]
16 // 主机
17 Host: get.sogou.com\r\n
18 \r\n
19 // 完整请求地址
20 [Full request URI: http://get.sogou.com/q]
21 [HTTP request 47/57]
22 // 前一请求所在帧
23 [Prev request in frame: 5904]
24 // 响应帧
25 [Response in frame: 5910]
26 // 下一请求帧
27 [Next request in frame: 5912]
28 // 文件数据
29 File Data: 719 bytes
30 // 数据
31 Data (719 bytes)

HTTP协议的内容根据请求情况会有所不同，需要具体情况具体分析。