Cómo utilizar Wireshark para monitorear los protocolos TCP, FTP y HTTP

Primero, descargue e instale Wireshark para iniciar npf e iniciar el servicio NPf. Reinicie Wireshark y podrá tomar el paquete.

Antes de tomar el paquete, también puede realizar algunas configuraciones, como marcar 2 en la imagen roja de arriba, haga clic para ingresar al cuadro de diálogo de configuración. Las configuraciones específicas son las siguientes: Interfaz: especifique la interfaz (tarjeta de red) para capturar el paquete (el sistema seleccionará automáticamente una tarjeta de red). Límite por paquete: Limita el tamaño de cada paquete, por defecto no hay límite.

Capturar paquetes en modo promiscuo: si se debe activar el modo promiscuo. Si está activado, captura todos los paquetes. En términos generales, sólo necesita escuchar los paquetes recibidos o enviados por esta máquina, por lo que debe desactivar esta opción. ? filtro: filtro. Obtenga solo paquetes que coincidan con las reglas de filtrado. ? Archivo: puede ingresar un nombre de archivo para escribir los paquetes capturados en el archivo especificado. ? Usar búfer circular: si se debe utilizar el búfer circular. De forma predeterminada, no se utiliza, simplemente sigue capturando paquetes. El almacenamiento en búfer circular solo funciona cuando se escribe en un archivo. Si utiliza el almacenamiento en búfer circular, también deberá establecer la cantidad de archivos y el tamaño de los archivos que se revertirán. ? Actualizar la lista de paquetes en tiempo real: si esta casilla de verificación está marcada, cada paquete se puede mostrar en tiempo real a medida que se intercepta, en lugar de mostrar todos los paquetes interceptados después del proceso de rastreo. ? Haga clic en el botón "Aceptar" para iniciar la captura de paquetes y se mostrarán las estadísticas de los diferentes paquetes recibidos. Después de hacer clic en el botón "Detener" para detener la captura de paquetes, los resultados del análisis de los paquetes capturados se mostrarán en el panel, como se muestra en la siguiente figura:

Para que los paquetes capturados sean más específicos , antes de capturar los paquetes, simplemente inicie el chat de video QQ. Debido a que QQ Video usa el protocolo UDP, la mayoría de los paquetes de datos capturados usan el protocolo UDP. ?

3. ¿Explicación de los resultados del robo de bolsos?

La ventana completa de resultados de captura de paquetes de Wireshark se divide en tres partes: la parte superior es la lista de paquetes, que se utiliza para mostrar información resumida de cada paquete interceptado; la del medio es el árbol de protocolos, que se utiliza; para mostrar La información del protocolo al que pertenece el paquete de datos seleccionado; en la parte inferior está el contenido del paquete de datos en forma hexadecimal, que se utiliza para representar la forma final del paquete de datos cuando se transmite en la capa física.

Wireshark puede analizar fácilmente los paquetes de datos interceptados, incluida la dirección de origen, la dirección de destino, el protocolo, etc.

En la lista de paquetes que se muestra arriba, la primera columna es el número (como el primer paquete), la segunda columna es el tiempo de interceptación (0.000000) y la tercera columna es la dirección de origen (115.5438+ 055.39.93). El destino de la cuarta columna es la dirección de destino (115.155.39.112), el protocolo de la quinta columna es el protocolo utilizado por este paquete (aquí está el protocolo UDP) y la información de la sexta columna es otra información, incluido el número de puerto de origen. y número de puerto de destino (puerto de origen: 58438). En el medio está el árbol de protocolo, como se muestra a continuación:

Esta es la forma final del paquete de datos interceptado cuando se transmite en el medio físico. Cuando se selecciona una fila en el árbol de protocolos, también se seleccionará su código hexadecimal correspondiente, de modo que se puedan analizar fácilmente los paquetes de datos de varios protocolos.

4. ¿Análisis de casos reales de acaparamiento de bolsos? Ejemplo: el cliente de acceso es 192. 200. 200. 110, la dirección del servidor FTP es 192.200.120 y el servidor FTP está en modo pasivo. Visitando

FTP://192. 200. 200. 120, descargue algo, tome el paquete y analícelo. ? 1. Establezca un canal de comando

El cuadro rojo en la imagen es el paquete de datos para establecer el canal de comando. Puede ver que el cliente primero solicita el puerto 21 del servidor FTP, inicia sesión con una cuenta anónima y tiene éxito. En el paquete 17, el cliente se conecta al servidor FTP de forma pasiva, y en el paquete 18, el servidor FTP le dice al cliente entrante que se conecte a su propio puerto 4844 para la transmisión de datos. Como se muestra en la siguiente figura:

Hay muchos comandos FTP, incluidos SYST, PWD, CWD, etc. , que es un comando FTP estándar que se puede encontrar en la web. ?

Wireshark escucha TCP FTP HTTP y HTTP.