以下是 Wireshark 针对特定协议的分析示例和详细配置教程，涵盖常见的 HTTP、DNS 和 TCP 协议。每种协议的分析过程略有不同，以下逐一介绍：
1. HTTP 协议分析
HTTP 协议是最常见的网络通信协议之一，用于分析网站请求和响应。
(1) 捕获 HTTP 流量
- 启动 Wireshark，选择合适的网络接口。
- 使用捕获过滤器只捕获 HTTP 流量：
port 80 - 如果是 HTTPS，需要安装服务器私钥或使用浏览器的 TLS 会话密钥解密。
(2) 分析 HTTP 流量
- 显示过滤器：捕获完成后，可以使用显示过滤器精确筛选：
- 只显示 HTTP 请求和响应：
http - 只显示 GET 请求：
http.request.method == "GET" - 只显示 POST 请求：
http.request.method == "POST"
- 只显示 HTTP 请求和响应：
- 查看 HTTP 请求/响应
- 在数据包列表中找到 HTTP 请求，点击后查看下方的详细信息：
- Request Line：包含请求方法（如 GET/POST）、URL 和协议版本。
- Headers：如 Host、User-Agent、Cookie 等。
- Body：POST 请求的参数或提交数据。
- 在数据包列表中找到 HTTP 请求，点击后查看下方的详细信息：
(3) 跟踪 HTTP 会话
右键点击一个 HTTP 数据包，选择 Follow > HTTP Stream，可以看到完整的请求和响应对话，包括：
- 请求的 URL。
- 服务器返回的状态码（如 200、404）。
- 响应内容（HTML 页面、JSON 数据等）。
2. DNS 协议分析
DNS 用于域名解析，将域名转换为 IP 地址。
(1) 捕获 DNS 流量
-
启动捕获，设置捕获过滤器为：
port 53这将只捕获 DNS 查询和响应数据包。
-
打开浏览器访问任意网站，产生 DNS 流量。
(2) 分析 DNS 流量
- 使用显示过滤器筛选 DNS 流量：
dns - 在数据包列表中，查看 DNS 查询和响应：
- 查询（Query）：显示客户端请求的域名。
- 响应（Response）：包含解析后的 IP 地址。
- 常见字段：
- Transaction ID：标识一次 DNS 请求和响应。
- Query Name：请求的域名。
- Answer Section：解析结果的 IP 地址。
(3) 定位 DNS 问题
- 如果没有响应包，可能是 DNS 服务器不可用。
- 检查是否有异常的域名请求（如可疑的恶意软件流量）。
3. TCP 协议分析
TCP 是一种面向连接的传输协议，常用于 HTTP、HTTPS 等。
(1) 捕获 TCP 流量
- 设置捕获过滤器为：
tcp - 开始捕获，运行一个基于 TCP 的应用程序（如浏览网页、FTP 传输）。
(2) 分析 TCP 数据包
- 使用显示过滤器筛选特定的 TCP 流量：
- 只显示从指定 IP 发出的流量：
ip.src == 192.168.1.1 - 只显示某个端口的 TCP 流量：
tcp.port == 443
- 只显示从指定 IP 发出的流量：
- 检查 TCP 三次握手（Three-Way Handshake）：
- SYN：客户端发起连接请求。
- SYN-ACK：服务器响应连接请求。
- ACK：客户端确认。
- 检查数据包标志位：
- RST：连接被重置。
- FIN：连接正常关闭。
- ACK：确认数据接收。
(3) 跟踪 TCP 会话
- 右键点击一个 TCP 数据包，选择 Follow > TCP Stream。
- 查看整个会话的通信数据，例如 HTTP 请求的完整报文。
(4) 排查 TCP 问题
- 丢包和重传：
- 查看数据包是否有 [TCP Retransmission]。
- 连接中断：
- 查看是否存在异常的 RST 标志。
4. 配置 HTTPS 解密（进阶）
HTTPS 流量需要解密才能分析具体内容。
(1) 前置条件
- 拥有服务器的 SSL/TLS 私钥文件。
- 或者获取浏览器的会话密钥（通过环境变量
SSLKEYLOGFILE）。
(2) 配置解密
- 打开 Wireshark，点击 Edit > Preferences。
- 选择 Protocols > TLS。
- 在 (Pre)-Master-Secret log filename 中，指定会话密钥文件路径。
- 重新加载捕获的数据包，即可解密 HTTPS 流量。
5. 常见问题排查场景
(1) 网络延迟问题
- 通过 TCP 流量，计算数据包的往返时间（RTT）。
- 检查是否有 重传 或 超时。
(2) DNS 解析慢
- 检查 DNS 查询和响应的时间差。
- 查看是否有多次未响应的查询。
(3) HTTP 请求慢
- 检查 HTTP 响应时间。
- 分析是否是服务器处理时间过长导致。
(4) 异常流量
- 检查是否有大量重复的请求（如 DoS 攻击）。
- 查看是否存在未知域名的 DNS 请求。
总结
- 针对不同协议的分析，Wireshark 提供了强大的过滤和解码功能。
- 常用的过滤器和解码功能可以快速定位问题根因。
- 如果需要更详细的教程，可以针对具体场景进一步展开！
