wireshark功能介紹
1.抓包嗅探協(xié)議分析
2.安全專家必備的技能
3.抓包引擎
Libpcap9----linux
Winpcap10-----windows
4.解碼能力
wireshark基本使用方法
1.啟動軟件
2.選擇抓包網(wǎng)卡
3.選擇混雜模式
4.實施抓包
5.保存和分析捕獲文件
6.首選項（可以定制布局，列表，字體等等功能）
Wireshark篩選器
- 過濾掉干擾的數(shù)據(jù)包
- 抓包篩選器
- 顯示篩選器
可以在上圖進行一系列的過濾
wireshark常見協(xié)議包
- 數(shù)據(jù)包的分層結(jié)構(gòu)：
- ARP（地址解析協(xié)議，將IP地址解析成mac地址）
- ICMP（ping工具的協(xié)議）
- TCP---三次握手
- UDP
- DNS
- Http
- Ftp
TCP：
數(shù)據(jù)流
Http
Smtp
Pop3
Ssl
Wireshark-信息統(tǒng)計
- 節(jié)點數(shù)
- 協(xié)議分布
- 包大小分布
- 會話連接
- 解碼方式
- 專家系統(tǒng)
專家系統(tǒng)可以為我們分析當前系統(tǒng)存在的問題
第一個查看文件屬性
點擊統(tǒng)計---斷點，可以查看所有的IP地址，mac地址情況
查看協(xié)議的分級
解碼（軟件會以端口定位協(xié)議，例如80端口程序固定認為這個協(xié)議就是http，但是80端口可能是ftp或者其他協(xié)議。）
實踐
Wireshark抓包對比nc，ncat加密與不加密的流量
1.首先在一臺kali的機器偵聽端口，將自己bash映射出去
2.在另一臺kali設(shè)備上開啟wireshark抓包，然后通過nc連接
通過抓包，命令全部都是以明文顯示
使用ncat加密傳輸
報文為加密得
企業(yè)抓包部署方案：
- Sniffer
- Cace / riverbed
- Cascad pilo
