03.wireshark的基本使用和FQA记录
1 基本的过滤使用
数据包的过滤基本的用法是用简单的&&
和||
等逻辑运行符组合成条件表达式来实现的, 如: tcp.port == 5088 && http
, 意思为过滤出tcp
协议的5088
端口且是http
协议。启用监听后,自然会把满足条件的数据包过滤出来。
1.1 ip
地址过滤
每个数据包有2个地址,源地址和目标地址。 其表达式为:
表达式 | 说明 |
---|---|
ip.src == 192.168.0.1 | 过滤出tcp 数据包中源地址ip 为192.168.0.1 的数据包 |
ip.dst == 192.168.0.2 | 过滤出tcp 数据包中目标地址ip 为192.168.0.2 的数据包 |
1.2 协议过滤
可以直接指定要什么协议的数据包,如: http || mqtt
, 则表示过滤出http
协议或mqtt
协议,注意协议名要为小写。
1.3 端口过滤
表达式 | 说明 |
---|---|
tcp.port == 1080 | 过滤出tcp 中发往1080 端口的数据包 |
2 FQA
2.1在mac 网卡权限问题
如果监听一个网卡时,提示无权操作时,原因是当前用户没权监听这张网卡的socket
文件,修改下需要权限就可以了
运行 sudo chmod 777 /dev/bpf*
2.2 本地127.0.0.1抓取
wireshark抓取环回链路数据包
为什么wireshark抓包抓不到本机自己跟自己的通信包,因为本机发完本机的数据包不会经过网卡,
而是经过环回链路返回本机,如果要监听环路链路,wireshark需要监听Loopback:lo0
在选择网卡时,有一个包含io
命名的网卡,基本上就是可以监听本地回环数据包的网卡了。