【网络】WireShark过滤 | WireShark实现TCP三次握手和四次挥手

目录

一、开启WireShark的大门

1.1 WireShark简介

1.2 常用的Wireshark过滤方式

二、如何抓包搜索关键字

2.1 协议过滤

2.2 IP过滤

​编辑

2.3 过滤端口

2.4 过滤MAC地址

2.5 过滤包长度

2.6 HTTP模式过滤

三、ARP协议分析

四、WireShark之ICMP协议

五、TCP三次握手与四次挥手

5.1 TCP三次握手

5.2 可视化看TCP三次握手

5.3 TCP四次挥手

5.4 可视化看TCP四次挥手

5.5 异常情况

一、开启WireShark的大门

相关文章：

【Linux】网络诊断 ping命令详解_linux ping-CSDN博客

【Linux】网络诊断 traceroute命令详解-CSDN博客

【Linux】nc 网络诊断 | 文件传输 命令详解-CSDN博客

【网络】抓包工具Wireshark下载安装和基本使用教程-CSDN博客

【网络】路由器和交换机的区别-CSDN博客

【网络】计算机网络基础概念入门-CSDN博客

【网络】网络层IP地址和IP数据报的格式-CSDN博客

【网络】网络层协议ARP和IP协议转发流程-CSDN博客

【网络】网络层ICMP协议-CSDN博客

【网络】传输层TCP协议-CSDN博客

1.1 WireShark简介

wireshark是非常流行的网络封包分析软件，功能十分强大。可以截取各种网络封包，显示网络封包的详细信息。常用来检测网络问题、攻击溯源、或者分析底层通信机制。

cmd输入ipconfig，下图中是我的IP：192.168.21.218

下图左侧对应你的电脑网卡，可以注意旁边的折线图，有波动的就是在使用的网卡。

停止运行，再点击捕获，选项，可以看到是否选择混杂模式

如下选择使用混杂模式

混杂模式︰混杂模式就是接收所有经过网卡的数据包，包括不是发给本机的包，即不验证MAC地址。
普通模式：普通模式下网卡只接收发给本机的包(包括广播包）传递给上层程序，其它的包一律丢弃。
一般来说，混杂模式不会影响网卡的正常工作，多在网络监听工具上使用。

1.2 常用的Wireshark过滤方式

  • IP地址过滤：通过指定源IP地址或目的IP地址来过滤数据包，例如：ip.src==192.168.1.1 或 ip.dst==192.168.1.1。
  • 网络协议过滤：通过指定网络协议来过滤数据包，例如：tcp、udp、Http等。
  • 端口过滤：通过指定源端口或目的端口来过滤数据包，例如：tcp.srcport==80 或 tcp.dstport==443。
  • 数据包长度过滤：通过指定数据包的长度来过滤数据包，例如：frame.len>100。
  • 数据包内容过滤：通过指定数据包中的特定内容来过滤数据包，例如：http contains "passWord"。
  • 协议字段过滤：通过指定协议字段的值来过滤数据包，例如：http.response.code==200。
  • 时间窗口过滤：通过指定时间范围来过滤数据包，例如：frame.time>= "2022-01-01 00:00:00" and frame.time<= "2022-01-01 23:59:59"。
  • 组合过滤：可以通过使用逻辑运算符（and、or、not）来组合多个过滤条件，例如：ip.src==192.168.1.1 and tcp.dstport==80。

二、如何抓包搜索关键字

2.1 协议过滤

点击蓝色鲨鱼状的是开始捕获，红色方块是停止。

比如说查TCP、UDP建立连接的时候是什么样的

tcp协议过滤

或者抓http的包，访问 192.168.2.153:8080

抓包结果如下，153 页面刷新响应218 HTTP 200 OK

2.2 IP过滤

或者搜一下我的网关试试

IP源地址：ip.src == 192.168.21.218
IP目的地址：ip.dst == 192.168.21.218
IP地址（包括源和目的）: ip.addr == 192.168.21.218
逻辑运算符为 AND/ OR

有着强大的联想提示功能，我们输入"ip."后会有提示

示例如下：过滤本地 192.168.21.218 到 192.168.2.153 且协议为 http 的数据包：

ip.src_host == 192.168.21.218 and ip.dst_host == 192.168.2.153 and http

2.3 过滤端口

语法格式：

TCP端口：tcp.port == 80TCP目的端口：tcp.dstport == 80TCP源端口：tcp.srcport == 80UDP端口：udp.port eq 15000TCP 1-80之间的端口：tcp.port >= 1 and tcp.port <= 80tcp.port == 8080 || udp.port == 80

如下过滤8080 端口，可以看到从本机192.168.21.218 到 192.168.2.153且为HTTP协议

2.4 过滤MAC地址

语法格式

源MAC地址：eth.src == 8c-ec-4b-bc-94-ad目的MAC地址：eth.dst == 8c-ec-4b-7c-3b-f8MAC地址（包括源和目的）：eth.addr == e0-78-a3-02-83-38

windows执行 arp -a可以看到本机所有网络接口接收到的IP及对应的物理地址

示例如下：

eth.addr==e0-78-a3-02-83-38

2.5 过滤包长度

语法格式

整个UDP数据包：udp.length == 20TCP数据包中的IP数据包：tcp.len >= 20整个IP数据包：ip.len == 20整个数据包：frame.len == 20

2.6 HTTP模式过滤

请求方法为GET ：http.request.method=="GET"请求方法为POST：http.request.method=="POST"指定URI：http.request.uri.path contains "x"泛   指：http contains "x"

如下获取GET请求

http.request.method == "GET"

三、ARP协议分析

ARP（Address Resolution Protocol）即地址解析协议，由于是IP协议使用了ARP协议，因此通常就把ARP协议划归网络层。ARP协议的用途是为了从网络层使用的IP地址解析出在数据链路层使用的硬件地址。ARP的基本功能就是负责将一个已知的IP地址解析成MAC地址，以便主机间能正常进行通信。

ping 192.168.21.254(这是我的网关)

如下是我本地的IP和物理地址

示例如下：

192.168.21.218(本机)发出一个广播来询问MAC地址：Who Has 192.168.21.254? Tell 192.168.21.218
182.168.21.254 做出应答：182.168.21.1254的MAC地址是 74: ea: c8: b1:51: 3f

ARP请求包（request）192.168.21.218——> 192.168.21.254

ARP响应包(reply)192.168.21.254——> 192.168.21.218

四、WireShark之ICMP协议

网络层使用了网际控制报文协议ICMP，Internet控制报文协议(Intemet Control Message Protocol, ICMP）是IP协议的一种补充，它与IP协议结合使用，以便提供与IP协议层配置和IP数据包处理相关的诊断和控制信息（IP协议本身并没有为终端系统提供直接的方法来发现那些发往目的地址失败的IP数据包，也没有提供直接的方式来获取诊断信息。）

ICMP通常被认为是IP层的一部分，它是在IP数据报内被封装传输的。

icmp数据包解读

（1）	Frame: 物理层
（2）	Ethernet II: 数据链路层
（3）	Internet Protocol Version 4: 网络层
（4）	Internet Control Message Protocol： icmp信息ping www.baidu.com

具体详情文章：【网络】网络层ICMP协议-CSDN博客

五、TCP三次握手与四次挥手

5.1 TCP三次握手

【网络】传输层TCP协议 | 三次握手 | 四次挥手-CSDN博客

下面是常见的TCP层的常用FLAGS。

标志位

描述

SYN

建立连接

ACK

确认

PSH

有 DATA数据传输

FIN

关闭连接

RST

连接重置

标志位：
SYN(synchronize)指请求同步
ACK指确认同步

TCP 建立连接的过程叫做握手，握手需要在客户和服务器之间交换三个TCP报文段。下图为客户端主动发起的图解：

获取百度的IP地址

tcp && ip.addr == 110.242.68.3
www.baidu.com的IP地址(目的IP)

输入后，回车。刚开始页面是空的流量信息，接下来打开百度首页(浏览器网址www.baidu.com)，关注这里的流量信息，可以发现三次握手的流量包信息已经显示在下方了

第一次握手

客户端发送一个TCP，标志位为SYN=1， 代表客户端请求建立连接。等待服务器收到数据包后，客户端变为监听状态。

第二次握手

服务器发回确认包， 标志位为 SYN，ACK。
SYN=1表示已经同步数据包
ACK=1表示确认收到
seq设为0，即服务器发出的第0个数据包
将确认序号设置为客户的seq加1，即ack=0+1=1

第三次握手

客户端再次发送确认包，SYN标志位为0，ACK标志位为1。
seq=0+1=1，客户端发送的第二个包，编号为1
ack=0+1=1，回复给服务器，表示服务器发出的0数据包已经收到。

5.2 可视化看TCP三次握手

统计——>流量图

三次握手的整个过程简单总结：

5.3 TCP四次挥手

本机地址：192.168.21.218，www.baidu.com的IP地址(IP 110.242.68.3)

第一次挥手：baidu.com发送带有[FIN，ACK]标志的数据包发送至本机，Seq=849，ACK=2786，发送后baidu.com进入FIN-WAIT-1（终止等待）状态。

此时Fin和Ack都为1，是一个客户端发送连接请求。

第二次挥手：本机收到baidu.com的FIN数据包，向baidu.com响应ACK数据包，Seq=2786（与baidu.com的FIN数据包 ACK值相同），ACK=850（等于baidu.com FIN数据包的 Seq +1 ）。后本机进入了CLOSE-WAIT（关闭等待）状态。

第三次挥手：数据发送完后，本机向baidu.com发送[FIN，ACK]报文，Seq=2786（与上一条报文的Seq值相同），ACK=850（与上一条报文的ACK值相同）。

第四次挥手：baidu.com向本机发送标志为[RST，ACK]的报文，Seq=850（与本机发送baidu.com的FIN报文ACK值相同），ACK=2787（与本机发送到baidu.com的FIN报文的Seq值相同）。

RST：该标志表示连接复位请求，用来复位那些产生的错误连接，也用来拒绝错误和非法的数据包

5.4 可视化看TCP四次挥手

统计——>流量图

5.5 异常情况

异常情况：RST终止

在研究这三四次挥手的时候，发现了异常终止情况

我们一般都是正常的等待终止连接，但这时出现了服务器提出终止连接请求，看来是 TCP连接异常中断，因为TCP是全双工通信，两者通信地位相等，双方都有权利主动终止请求。

在服务器主动发送终止指令后，客户端被动响应终止。然后客户端主动提出keep-alive不断开连接，服务器响应再一次客户端提出keep-alive的时候，服务器RST终止了异常的连接。

————————————————

参考原文链接：wireshark分析tcp协议（二）四次挥手（异常情况）【理论 + 实操】_wireshark监测异常行为介绍-CSDN博客

【网络安全】Wireshark过滤数据包&分析TCP三次握手_wireshark过滤tcp-CSDN博客

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/247409.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

MySQL 学习记录

MySQL 学习记录

基本常识 row-size-limitsblob&#xff1a; BLOB and TEXT columns cannot have DEFAULT values.Instances of BLOB or TEXT columns in the result of a query that is processed using a temporary table causes the server to use a table on disk rather than in memory b…
阅读更多...
SQL注入：二次注入

SQL注入：二次注入

SQL注入系列文章&#xff1a; 初识SQL注入-CSDN博客 SQL注入&#xff1a;联合查询的三个绕过技巧-CSDN博客 SQL注入&#xff1a;报错注入-CSDN博客 SQL注入&#xff1a;盲注-CSDN博客 目录 什么是二次注入&#xff1f; 二次注入演示 1、可以注册新用户 2、可以登录->…
阅读更多...
防御保护--NAT策略

防御保护--NAT策略

目录 NAT策略 NAT类型 server-map表 P2P --- peer to peer 网络类型 ​编辑 目标NAT--服务器映射 双向NAT ​编辑 多出口NAT NAT策略 静态NAT --- 一对一 动态NAT --- 多对多 NAPT --- 一对多的NAPT --- easy ip --- 多对多NAPT 服务器映射 源NAT--基于源IP地址进行转…
阅读更多...
IDEA插件(MyBatis Log Free)

IDEA插件(MyBatis Log Free)

引言 在Java开发中&#xff0c;MyBatis 是一款广泛使用的持久层框架&#xff0c;它简化了SQL映射并提供了强大的数据访问能力。为了更好地调试和优化MyBatis应用中的SQL语句执行&#xff0c;一款名为 MyBatis Log Free 的 IntelliJ IDEA 插件应运而生。这款插件旨在帮助开发者…
阅读更多...
扭蛋机小程序开发：创新体验与商业机会

扭蛋机小程序开发：创新体验与商业机会

一、引言 随着移动应用的普及&#xff0c;小程序已经成为一种新型的应用形式&#xff0c;以其轻便、快捷、无需安装等优点深受用户喜爱。扭蛋机作为一种常见的娱乐设备&#xff0c;其小程序开发将带来全新的用户体验&#xff0c;同时也为企业带来了商业机会。本文将探讨扭蛋机…
阅读更多...
阿里云发送短信

阿里云发送短信

0.阿里云文档地址 可以设置测试手机号 1.引入依赖 <dependency><groupId>com.aliyun</groupId><artifactId>aliyun-java-sdk-core</artifactId></dependency><dependency><groupId>com.aliyun</groupId><artifactId…
阅读更多...
LLM大语言模型（五）：用streamlit开发LLM应用

LLM大语言模型（五）：用streamlit开发LLM应用

目录 背景准备工作切记streamlit开发LLM demo开一个新页面初始化session先渲染历史消息接收用户输入模拟调用LLM 参考 背景 Streamlit是一个开源Python库&#xff0c;可以轻松创建和共享用于机器学习和数据科学的漂亮的自定义web应用程序&#xff0c;用户可以在几分钟内构建一…
阅读更多...
ES6.8.6 创建索引配置分词器、映射字段指定分词器、查询数据高亮显示分词结果（内置分词器、icu、ik、pinyin分词器）

ES6.8.6 创建索引配置分词器、映射字段指定分词器、查询数据高亮显示分词结果（内置分词器、icu、ik、pinyin分词器）

文章目录 ES环境内置分词器&#xff0c;以simple分词器示例查询创建索引simple_news&#xff0c;修改分词器为simple插入模拟数据分词查询&#xff1a;返回通过分词查询到的结果、高亮分词分词匹配&#xff1a;写一次示例&#xff0c;其他分词和匹配思路基本一致第一步&#xf…
阅读更多...
What is Rust? Why Rust？

What is Rust? Why Rust？

why Rust&#xff1f; 目前&#xff0c;Rust 变得越来越流行。然而&#xff0c;仍然有很多人&#xff08;和公司&#xff01;&#xff09;误解了 Rust 的主张价值是什么&#xff0c;甚至误解了它是什么。在本文中&#xff0c;我们将讨论 Rust 是什么以及为什么它是一种可以增强…
阅读更多...
laravel框架项目对接小程序实战经验回顾

laravel框架项目对接小程序实战经验回顾

一.对接小程序总结 1.状态转换带来的问题&#xff0c;如下 问题原因&#xff1a;由于status 传参赋值层级较多&#xff0c;导致后续查询是数组但是传参是字符串&#xff0c; 解决方案&#xff1a;互斥的地方赋值为空数组&#xff0c;有状态冲突的地方unset掉不需要的参数 2参…
阅读更多...
【数字电子技术课程设计】多功能数字电子钟的设计

【数字电子技术课程设计】多功能数字电子钟的设计

目录 摘要 1 设计任务要求 2 设计方案及论证 2.1 任务分析 2.1.1 晶体振荡器电路 2.1.2 分频器电路 2.1.3 时间计数器电路 2.1.4 译码驱动电路 2.1.5 校时电路 2.1.6 整点报时/闹钟电路 2.2 方案比较 2.3 系统结构设计 2.4 具体电路设计 3 电路仿真测试及结…
阅读更多...
华为产业链之车载激光雷达

华为产业链之车载激光雷达

一、智能汽车 NOA 加快普及&#xff0c;L3 上路利好智能感知硬件 1、感知层是 ADAS 最重要的一环 先进驾驶辅助系统 &#xff08;ADAS&#xff0c; Advanced driver-assistance system&#xff09;分“感知层、决策层、执行层”三个层级&#xff0c;其中感知层是最重要的一环…
阅读更多...
初探二分法

初探二分法

推荐阅读 智能化校园&#xff1a;深入探讨云端管理系统设计与实现&#xff08;一&#xff09; 智能化校园&#xff1a;深入探讨云端管理系统设计与实现&#xff08;二&#xff09; 文章目录 推荐阅读题目解法一解法二 题目 题目&#xff1a;给定一个 n 个元素有序的&#xff0…
阅读更多...
Windows 和 Anolis 通过 Docker 安装 Milvus 2.3.4

Windows 和 Anolis 通过 Docker 安装 Milvus 2.3.4

Windows 10 通过 Docker 安装 Milvus 2.3.4 一.Windows 安装 Docker二.Milvus 下载1.下载2.安装1.Windows 下安装&#xff08;指定好Docker文件目录&#xff09;2.Anolis下安装 三.数据库访问1.ATTU 客户端下载 一.Windows 安装 Docker Docker 下载 双击安装即可&#xff0c;安…
阅读更多...
面经基础版案例(路由，请求渲染，传参，组件缓存)

面经基础版案例(路由，请求渲染，传参，组件缓存)

文章目录 1.案例效果分析2.配置一级路由&#xff08;首页&#xff0c;详情&#xff09;3.配置二级路由4.导航高亮效果5.首页的请求渲染6.传参&#xff08;查询参数 $ 动态路由&#xff09;7.详情页渲染8.组件缓存kepp-alive9.总结 1.案例效果分析 2.配置一级路由&#xff08;首…
阅读更多...
IDEA开发使用 thymeleaf 模板$表达式报红波浪线解决方案

IDEA开发使用 thymeleaf 模板$表达式报红波浪线解决方案

系列文章目录 文章目录 系列文章目录后端存值前端取值thymeleaf 后端存值 RequestMapping("/testModelAndView")//使用ModelAndView时返回的方法类型必须是ModelAndViewpublic ModelAndView testModelAndView() {//创建ModelAndView对象ModelAndView mav new Model…
阅读更多...
借用GitHub将typora图片文件快速上传CSDN

借用GitHub将typora图片文件快速上传CSDN

前情概要 众所周知&#xff0c;程序员大佬们喜欢用typora软件写代码笔记&#xff0c;写了很多笔记想要放到CSDN上给其他大佬分享&#xff0c;但是在往csdn上搬运的时候&#xff0c;图片总是上传出错&#xff0c;一张一张搞有很麻烦&#xff0c;咋如何搞&#xff1f; 废话不多…
阅读更多...
java数据结构与算法刷题-----LeetCode769. 最多能完成排序的块

java数据结构与算法刷题-----LeetCode769. 最多能完成排序的块

java数据结构与算法刷题目录&#xff08;剑指Offer、LeetCode、ACM&#xff09;-----主目录-----持续更新(进不去说明我没写完)&#xff1a;https://blog.csdn.net/grd_java/article/details/123063846 解题思路 这道题可以理解为&#xff0c;只能保证块内有序的情况下&#xf…
阅读更多...
ArcgisForJs快速入门

ArcgisForJs快速入门

文章目录 0.引言1.前端代码编辑工具2.使用ArcgisForJs创建一个简单应用3.切片地图服务图层4.动态地图服务图层5.地图事件 0.引言 ArcGIS API for JavaScript是一款由Esri公司开发的用于创建WebGIS应用的JavaScript库。它允许开发者通过调用ArcGIS Server的REST API&#xff0c…
阅读更多...
探索Viper-适用于GoLang的完整配置解决方案

探索Viper-适用于GoLang的完整配置解决方案

前言 对于现代应用程序&#xff0c;尤其大中型的项目来说&#xff0c;在程序启动和运行时&#xff0c;往往需要传入许多参数来控制程序的行为&#xff0c;我们可以通过命令行参数&#xff0c;环境变量&#xff0c;配置文件等方式来将参数传递给程序。而Viper库为Golang语言开发…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023