wireshark抓包工具是一款網(wǎng)絡(luò)協(xié)議分析器，為用戶實時檢測網(wǎng)絡(luò)的通訊數(shù)據(jù)，同時支持抓取數(shù)據(jù)快照的功能，可以通過頁面瀏覽而分析每一層詳細(xì)數(shù)據(jù)內(nèi)容，下載完成后呈現(xiàn)出中文版軟件，廣大用戶放心下載使用，更多精彩軟件盡在極光下載站！

wireshar中文版簡介

-wireshark（前稱ethereal）是一個網(wǎng)絡(luò)封包分析軟件。網(wǎng)絡(luò)封包分析軟件的功能是擷取網(wǎng)絡(luò)封包，并盡可能顯示出最為詳細(xì)的網(wǎng)絡(luò)封包資料。wireshark使用winpcap作為接口，直接與網(wǎng)卡進行數(shù)據(jù)報文交換。

-網(wǎng)絡(luò)封包分析軟件的功能可想像成 &電工技師使用電表來量測電流、電壓、電阻& 的工作 - 只是將場景移植到網(wǎng)絡(luò)上，并將電線替換成網(wǎng)絡(luò)線。在過去，網(wǎng)絡(luò)封包分析軟件是非常昂貴的，或是專門屬于盈利用的軟件。ethereal的出現(xiàn)改變了這一切。在gnugpl通用許可證的保障范圍底下，使用者可以以免費的代價取得軟件與其源代碼，并擁有針對其源代碼修改及客制化的權(quán)利。ethereal是目前全世界最廣泛的網(wǎng)絡(luò)封包分析軟件之一。

抓包教程：

wireshark 開始抓包

開始界面

wireshark是捕獲機器上的某一塊網(wǎng)卡的網(wǎng)絡(luò)包，當(dāng)你的機器上有多塊網(wǎng)卡的時候，你需要選擇一個網(wǎng)卡。

點擊Caputre->Interfaces.. 出現(xiàn)下面對話框，選擇正確的網(wǎng)卡。然后點擊&Start&按鈕, 開始抓包

軟件特點

-wireshark抓包工具擁有許多強大的特性

包含有強顯示過濾器語言(rich display filter language)和查看tcp會話重構(gòu)流的能力

-它更支持上百種協(xié)議和媒體類型

擁有一個類似tcpdump(一個linux下的網(wǎng)絡(luò)協(xié)議分析工具)的名為tethereal的的命令行版本

在過去，網(wǎng)絡(luò)封包分析軟件是非常昂貴，或是專門屬于營利用的軟件

-ethereal的出現(xiàn)改變了這一切

在gnu gpl通用許可證的保障范圍底下，使用者可以以免費的代價取得軟件與其程式碼，并擁有針對其原始碼修改及客制化的權(quán)利。ethereal是目前全世界廣泛運用的網(wǎng)絡(luò)封包分析軟件之一。

工作流程

（1）確定wireshark的位置。如果沒有一個正確的位置，啟動wireshark后會花費很長的時間捕獲一些與自己無關(guān)的數(shù)據(jù)。

（2）選擇捕獲接口。一般都是選擇連接到internet網(wǎng)絡(luò)的接口，這樣才可以捕獲到與網(wǎng)絡(luò)相關(guān)的數(shù)據(jù)。否則，捕獲到的其它數(shù)據(jù)對自己也沒有任何幫助。

（3）使用捕獲過濾器。通過設(shè)置捕獲過濾器，可以避免產(chǎn)生過大的捕獲文件。這樣用戶在分析數(shù)據(jù)時，也不會受其它數(shù)據(jù)干擾。而且，還可以為用戶節(jié)約大量的時間。

（4）使用顯示過濾器。通常使用捕獲過濾器過濾后的數(shù)據(jù)，往往還是很復(fù)雜。為了使過濾的數(shù)據(jù)包再更細(xì)致，此時使用顯示過濾器進行過濾。

（5）使用著色規(guī)則。通常使用顯示過濾器過濾后的數(shù)據(jù)，都是有用的數(shù)據(jù)包。如果想更加突出的顯示某個會話，可以使用著色規(guī)則高亮顯示。

（6）構(gòu)建圖表。如果用戶想要更明顯的看出一個網(wǎng)絡(luò)中數(shù)據(jù)的變化情況，使用圖表的形式可以很方便的展現(xiàn)數(shù)據(jù)分布情況。

（7）重組數(shù)據(jù)。wireshark的重組功能，可以重組一個會話中不同數(shù)據(jù)包的信息，或者是一個重組一個完整的圖片或文件。由于傳輸?shù)奈募^大，所以信息分布在多個數(shù)據(jù)包中。為了能夠查看到整個圖片或文件，這時候就需要使用重組數(shù)據(jù)的方法來實現(xiàn)。

安裝步驟

1、在本站下載新版的wireshark安裝包，雙擊運行，打開wireshark安裝向?qū)В缦聢D所示：

2、閱讀軟件協(xié)議，同意協(xié)議即可，點擊next按鈕：

3、選擇安裝組件，默認(rèn)勾選即可，點擊next：

4、選擇附加任務(wù)，默認(rèn)勾選即可，如下圖所示，點擊next:

5、按照提示點擊下一步即可，直至如下界面，可以點擊【browse】來定義軟件的安裝位置。默認(rèn)安裝在c盤，建議您單擊browse按鈕自定義安裝路徑：

6、準(zhǔn)備安裝，點擊intall：

7、點擊install開始安裝，該軟件安裝可能需要幾分鐘，請耐心等待。

8、安裝完畢會有提示，點擊【finish】即可使用軟件啦。

過濾規(guī)則詳解

wireshark過濾器有兩種：

一種是顯示過濾器，就是主界面上那個，用來在捕獲的記錄中找到所需要的記錄

一種是捕獲過濾器，用來過濾捕獲的封包，以免捕獲太多的記錄。 在capture -> capture filters 中設(shè)置

保存過濾

在filter欄上，填好filter的表達式后，點擊save按鈕， 取個名字。比如&filter 102&,

filter欄上就多了個&filter 102& 的按鈕。

wireshark過濾表達式的規(guī)則

表達式規(guī)則

1. 協(xié)議過濾

比如tcp，只顯示tcp協(xié)議。

2. ip 過濾

比如 ip.src ==192.168.1.102 顯示源地址為192.168.1.102，

ip.dst==192.168.1.102, 目標(biāo)地址為192.168.1.102

3. 端口過濾

tcp.port ==80, 端口為80的

tcp.srcport == 80, 只顯示tcp協(xié)議的愿端口為80的。

4. http模式過濾

http.request.method==&get&, 只顯示http get方法的。

5. 邏輯運算符為 and/ or

常見問題

一、wireshark可以使用哪些設(shè)備來捕獲數(shù)據(jù)包?

答：wireshark可以讀取以太網(wǎng)，令牌環(huán)，fddi，串行(ppp和slip)的實時數(shù)據(jù)(如果它運行的操作系統(tǒng)允許wireshark這樣做)，802.11無線局域網(wǎng)(如果它運行的操作系統(tǒng)允許wireshark)要做到這一點)，atm連接(如果它運行的操作系統(tǒng)允許wireshark這樣做)，以及最近版本的libpcap在linux上支持的“任何”設(shè)備。

二、當(dāng)我嘗試運行wireshark時，為什么會出現(xiàn) sprint_realloc_objid未定義?

答： wireshark只能與版本4.2.2或更高版本的ucd snmp鏈接。你的wireshark版本與這種版本的ucd snmp動態(tài)鏈接; 但是，您安裝了較舊版本的ucd snmp，這意味著當(dāng)運行wireshark時，它會嘗試鏈接到舊版本，并失敗。您必須使用4.2.2版或更高版本替換該版本的ucd snmp。

三、wireshark怎么注釋數(shù)據(jù)包?

1、進行打開電腦中的wireshark的軟件應(yīng)用。

2、在wireshark抓取到的數(shù)據(jù)包的中，進行右鍵所選中的數(shù)據(jù)包。

3、這樣就會彈出了下拉菜單中，進行選擇為菜單中的“packet comment”

4、這樣就會彈出了packet comment的一個窗口的界面中，在輸入框中進行輸入需要注釋的內(nèi)容。

5、可以在下框中，顯示一個綠色，進行選中該注釋的。這樣顯示的是該注釋的內(nèi)容了。

四、wireshark數(shù)據(jù)包怎么打印?

1、在數(shù)據(jù)包中列表中當(dāng)中，進行選中一個數(shù)據(jù)包，然后進行點擊菜單中的“file”的選項。

2、這樣就會彈出了下拉菜單中，進行選擇為”print“的選項。

3、這樣就會彈出了一個print的選項，只打印一個數(shù)據(jù)包，進行勾選上selected packet only。

4、然后在進行選擇為了打印的名稱，來打印數(shù)據(jù)包的內(nèi)容。

5、由于這個只演示打印到電腦中文件中，進行取電腦的名稱。

6、然后在電腦中的路徑中找到該文件，打開該數(shù)據(jù)包，就可查看數(shù)據(jù)包內(nèi)容。

wireshark和winpcap哪個比較好用?有什么區(qū)別?

-winpcap是用于網(wǎng)絡(luò)封包抓取的一套工具，可適用于32位或64位的操作平臺上解析網(wǎng)絡(luò)封包，包含了核心的封包過濾，一個底層動態(tài)鏈接庫，和一個高層系統(tǒng)函數(shù)庫，及可用來直接存取封包的應(yīng)用程序界面。

-winpcap是一個免費公開的軟件系統(tǒng)。它用于windows系統(tǒng)下的直接的網(wǎng)絡(luò)編程。

-大多數(shù)網(wǎng)絡(luò)應(yīng)用程序訪問網(wǎng)絡(luò)是通過廣泛使用的套接字。這種方法很容易實現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)傳輸，因為操作系統(tǒng)負(fù)責(zé)底層的細(xì)節(jié)(比如協(xié)議棧，數(shù)據(jù)流組裝等)以及提供了類似于文件讀寫的函數(shù)接口。

-但是有時，簡單的方法是不夠的。因為一些應(yīng)用程序需要一個底層環(huán)境去直接操縱網(wǎng)絡(luò)通信。因此需要一個不需要協(xié)議棧支持的原始的訪問網(wǎng)絡(luò)的方法

-wireshark(前稱ethereal)是一個網(wǎng)絡(luò)封包分析軟件。網(wǎng)絡(luò)封包分析軟件的功能是擷取網(wǎng)絡(luò)封包，并盡可能顯示出更為詳細(xì)的網(wǎng)絡(luò)封包資料。

-網(wǎng)絡(luò)封包分析軟件的功能可想像成 &電工技師使用電表來量測電流、電壓、電阻& 的工作 - 只是將場景移植到網(wǎng)絡(luò)上，并將電線替換成網(wǎng)絡(luò)線。

-在過去，網(wǎng)絡(luò)封包分析軟件是非常昂貴，或是專門屬于營利用的軟件。ethereal的出現(xiàn)改變了這一切。在gnugpl通用許可證的保障范圍底下，使用者可以以免費的代價取得軟件與其源代碼，并擁有針對其源代碼修改及客制化的權(quán)利。ethereal是目前全世界廣泛運用的網(wǎng)絡(luò)封包分析軟件之一。

小編總結(jié)：兩者功能不盡相同，用戶可根據(jù)自己實際需求進行選擇。歡迎來極光下載站挑選下載。

更新日志：

v4.4.1版本

一、漏洞修補

1、已修復(fù)以下漏洞：

wnpa-2024-12年12月ITS解剖器墜毀。

wnpa-sec-2024-13 AppleTalk和RELOAD幀解析器崩潰。

2、已修復(fù)以下錯誤：

實時捕獲期間刷新界面會導(dǎo)致界面處理損壞。

為Thread和UASIP注冊的媒體類型“應(yīng)用程序/八位字節(jié)流”。

添加新界面時，Extcap工具欄停止工作。

解碼錯誤ITS CPM版本2.1.1。

4.3.0中的構(gòu)建錯誤：sync_pipe_run_command_actual錯誤：參數(shù)2為null，但相應(yīng)的大小參數(shù)3值為512004[-Werror=nonull]Issue

html2text.py不處理標(biāo)簽。

NetFlow v8 TOS AS聚合解析不正確。

Windows軟件包不附帶IP地址插件。

O_PATH是Linux和FreeBSD特有的。

Wireshark 4.4.0沒有在正確的目錄中安裝USBcap USBcapCMD.exe。

如果ASN.1 SEQUENCE定義包括擴展標(biāo)記但沒有可選項，OER解析器將不考慮前導(dǎo)碼。

藍牙經(jīng)典L2CAP無連接接收信道解析錯誤。

配置文件自動切換過濾器：從配置文件對話框打開時顯示灰色顯示過濾器表達式對話框。

Wireshark 4.4.0/macOS 14.6.1無線上網(wǎng)，如果是監(jiān)控模式。

TECMP數(shù)據(jù)類型向子解析器傳遞了太多數(shù)據(jù)。

Wireshark和tshark 4.4.0忽略命令行上指定的extcap選項。

由于路徑不正確，目錄組件重復(fù)，無法打開發(fā)行說明。

無法從“幫助”菜單打開“發(fā)行說明”。

如果Wireshark通過特定路徑從命令行啟動，則沒有捕獲接口。

Wireshark 4.4.0 extcap路徑更改破壞了第三方extcap安裝程序。

Fuzz作業(yè)UTF-8編碼問題：Fuzz-2024-09-10-7618.pcap。

無法創(chuàng)建大于99個大小單位的文件。

在macOS 15.0上打開Wireshark 4.4.0會斷開iPhone鏡像。

4.4.0中L2 IEC 61850 GOOSE數(shù)據(jù)包的PRP預(yù)告片未顯示(在4.2.7中工作)

GUI延遲，因為NetworkManager不斷關(guān)閉802.11監(jiān)視器模式。

通過獲取藍牙應(yīng)用程序進程id時出錯。

Fuzz工作聲明：randpkt-2024-10-05-7200.pcap。

二、新功能和更新功能

僅轉(zhuǎn)儲具有特定前綴的字段的TShark語法已從-G字段前綴更改為-G字段前綴。這允許tshark-G字段再次支持指定要使用的配置文件。

三、新協(xié)議支持

1、此版本中沒有新協(xié)議。

2、更新的協(xié)議支持

AppleTalk、ARTNET、BGP、BT L2CAP、CIGI、CIP Motion、CoAP、COSE、DISTCC、DMP、以太網(wǎng)OAM PDU、F5 FILEINFO、GIOP、GOOSE、GSM管理、GSM SIM、GTP、HTTP、HTTP2、ID3v2、IDN、IEEE 1609.2、IEEE 802.11、IPPUSB、iRDMA、ISystemActivator、ITS、Kerberos、LwM2M TLV、MMS、MQ、MySQL、NCP SSS、NetFlow、OER、OWAMP、QNET、RELOAD成幀、RTCP、RTLS、SANE、SMB2、SSyncP、Sysdig Event、T.124、TECMP、Thread、Thrift，以及TWAMP

3、新的和更新的捕獲文件支持

BLF、CLLOG、CommView、ERF和pcap

4、更新的文件格式解碼支持

此版本中沒有更新的文件格式支持。