1. Wireshark 工具介绍Wireshark 是一款开源的网络协议分析工具主要用于分析抓取的网络数据包包含TCP/IP、HTTP、DNS、数据库等协议排查网络延迟、丢包、连接重置、服务无响应等问题学习网络协议和进行安全分析核心原则Wireshark 负责“分析”tcpdump/dumpcap 负责“抓包”。抓包点应选在目标流量一定会经过的机器上。2. Wireshark 安装Windows访问官网 wireshark.org下载 Windows 64-bit 安装包。右键安装包选择“以管理员身份运行”。组件选择页保持默认必须勾选 Npcap。安装完成后打开 Wireshark能看到 Wi-Fi 或以太网接口即正常。由于外网下载速度可能较慢因此提供现有安装包内含已抓包的练手.pacp 文件获取途径关注公众号【科创视野】回复wiresharkmacOS下载.dmg镜像并打开。将 Wireshark 拖入Applications。关键一步在同一镜像中运行Install ChmodBPF.pkg。否则会因权限不足无法抓包。LinuxUbuntu / Debiansudo apt update sudo apt install wireshark安装过程中会询问Should non-superusers be able to capture packets?选择 Yes。如果误选 No执行sudo dpkg-reconfigure wireshark-common sudo usermod -aG wireshark $USER然后注销并重新登录。3. Wireshark 使用3.1 抓包在哪台机器进行原则抓包点要尽量靠近故障边界。谁最可能知道真相就在谁身上抓。场景优先抓包机器目的客户端报连接超时服务端优先客户端辅助看 SYN 是否到达服务端服务端报错或响应慢服务端看请求是否收到、响应是否发出偶发丢包、重传两端同时抓或中间节点对比时间戳定位链路问题数据库端口 2881数据库服务端 客户端确认 SQL 请求与响应只能选一台优先服务端判断请求是否到达、服务端是否响应如果服务端抓不到包再去客户端抓确认请求是否真正发出。如果两端都有包但时间差很大问题通常在网络链路或中间代理。3.2 推荐抓包指令tcpdumpLinux 服务器上推荐使用tcpdump稳定、轻量、适合生产环境。基础命令sudo tcpdump -i any -s 0 -nn port 2881 \ -w /tmp/$(date %Y%m%d%H%M%S)_$(hostname)_2881.pcap参数说明参数含义-i any监听所有网卡-s 0抓完整数据包不截断-nn不解析域名和端口名port 2881只抓源端口或目的端口为 2881 的流量-w写入 pcap 文件文件名包含时间、主机名、端口便于区分3.3 用 Wireshark 打开并分析抓包完成后将.pcap文件下载到安装了 Wireshark 的电脑直接打开。常用操作在顶部显示过滤器栏输入过滤条件。点击任意数据包查看中间详情面板的各层协议。右键 TCP 包选择Follow(跟踪流) → TCP Stream查看完整会话。使用Statistics → Conversations查看流量对话。使用Statistics → IO Graph查看流量随时间变化。使用Analyze → Expert Information查看异常提示。3.4 显示过滤器打开 pcap 文件后在 Wireshark 顶部的显示过滤器栏输入表达式回车即可筛选数据包。逻辑运算符与||或!非搜索二进制内容有时需要直接搜索数据包载荷中的字符串例如 SQL 语句中的select# 在 TCP 载荷中搜索 select区分大小写。 tcp contains select # 忽略大小写contains 做不到需要改用正则匹配 matches tcp matches (?i)select # 在指定端口中搜索 select适合数据库流量分析。 tcp.port 2883 tcp contains select追踪特定的 TCP 流由于客户端用了不同的端口32418 和 31782连接 2883如果您只想看某一整条会话最快的方法是在任意数据包上右键 →Follow→TCP Stream。Wireshark 会自动生成一个tcp.stream eq 0或对应编号的过滤器只显示该连接的完整交互过程。3.5 AI 分析现在 AI 这么强直接让 AI 分析抓包文件即可。总结Wireshark 是协议分析工具tcpdump 是服务器抓包工具。抓包位置优先选服务端如果服务端没收到再去客户端或中间节点抓。推荐服务器抓包命令抓完后用 Wireshark 打开结合显示过滤器、Follow TCP Stream 和 Expert Information即可完成从抓包到排障的完整闭环。 【Wireshark】安装与使用指南
1. Wireshark 工具介绍Wireshark 是一款开源的网络协议分析工具主要用于分析抓取的网络数据包包含TCP/IP、HTTP、DNS、数据库等协议排查网络延迟、丢包、连接重置、服务无响应等问题学习网络协议和进行安全分析核心原则Wireshark 负责“分析”tcpdump/dumpcap 负责“抓包”。抓包点应选在目标流量一定会经过的机器上。2. Wireshark 安装Windows访问官网 wireshark.org下载 Windows 64-bit 安装包。右键安装包选择“以管理员身份运行”。组件选择页保持默认必须勾选 Npcap。安装完成后打开 Wireshark能看到 Wi-Fi 或以太网接口即正常。由于外网下载速度可能较慢因此提供现有安装包内含已抓包的练手.pacp 文件获取途径关注公众号【科创视野】回复wiresharkmacOS下载.dmg镜像并打开。将 Wireshark 拖入Applications。关键一步在同一镜像中运行Install ChmodBPF.pkg。否则会因权限不足无法抓包。LinuxUbuntu / Debiansudo apt update sudo apt install wireshark安装过程中会询问Should non-superusers be able to capture packets?选择 Yes。如果误选 No执行sudo dpkg-reconfigure wireshark-common sudo usermod -aG wireshark $USER然后注销并重新登录。3. Wireshark 使用3.1 抓包在哪台机器进行原则抓包点要尽量靠近故障边界。谁最可能知道真相就在谁身上抓。场景优先抓包机器目的客户端报连接超时服务端优先客户端辅助看 SYN 是否到达服务端服务端报错或响应慢服务端看请求是否收到、响应是否发出偶发丢包、重传两端同时抓或中间节点对比时间戳定位链路问题数据库端口 2881数据库服务端 客户端确认 SQL 请求与响应只能选一台优先服务端判断请求是否到达、服务端是否响应如果服务端抓不到包再去客户端抓确认请求是否真正发出。如果两端都有包但时间差很大问题通常在网络链路或中间代理。3.2 推荐抓包指令tcpdumpLinux 服务器上推荐使用tcpdump稳定、轻量、适合生产环境。基础命令sudo tcpdump -i any -s 0 -nn port 2881 \ -w /tmp/$(date %Y%m%d%H%M%S)_$(hostname)_2881.pcap参数说明参数含义-i any监听所有网卡-s 0抓完整数据包不截断-nn不解析域名和端口名port 2881只抓源端口或目的端口为 2881 的流量-w写入 pcap 文件文件名包含时间、主机名、端口便于区分3.3 用 Wireshark 打开并分析抓包完成后将.pcap文件下载到安装了 Wireshark 的电脑直接打开。常用操作在顶部显示过滤器栏输入过滤条件。点击任意数据包查看中间详情面板的各层协议。右键 TCP 包选择Follow(跟踪流) → TCP Stream查看完整会话。使用Statistics → Conversations查看流量对话。使用Statistics → IO Graph查看流量随时间变化。使用Analyze → Expert Information查看异常提示。3.4 显示过滤器打开 pcap 文件后在 Wireshark 顶部的显示过滤器栏输入表达式回车即可筛选数据包。逻辑运算符与||或!非搜索二进制内容有时需要直接搜索数据包载荷中的字符串例如 SQL 语句中的select# 在 TCP 载荷中搜索 select区分大小写。 tcp contains select # 忽略大小写contains 做不到需要改用正则匹配 matches tcp matches (?i)select # 在指定端口中搜索 select适合数据库流量分析。 tcp.port 2883 tcp contains select追踪特定的 TCP 流由于客户端用了不同的端口32418 和 31782连接 2883如果您只想看某一整条会话最快的方法是在任意数据包上右键 →Follow→TCP Stream。Wireshark 会自动生成一个tcp.stream eq 0或对应编号的过滤器只显示该连接的完整交互过程。3.5 AI 分析现在 AI 这么强直接让 AI 分析抓包文件即可。总结Wireshark 是协议分析工具tcpdump 是服务器抓包工具。抓包位置优先选服务端如果服务端没收到再去客户端或中间节点抓。推荐服务器抓包命令抓完后用 Wireshark 打开结合显示过滤器、Follow TCP Stream 和 Expert Information即可完成从抓包到排障的完整闭环。