2，可以從網卡上抓取本機收發的數據，也有人把從瀏覽器或者其他工作在頂層的軟件上獲取的數據視為抓包。
3.如果您的局域網很原始，您仍然可以嘗試從網卡獲取廣播數據。
4.分析有現成的軟件，主要集中在無法加密的部分，即發送人的地址、時間、路徑、內容量。在不涉及內容的情況下，是典型的被動數據分析。
問題二:如何分析數據包捕獲wireshark的數據首先我們打開wireshark軟件的主界面，在主界面上選擇網卡，然後點擊開始。Wireshark進入抓包分析過程。在本文中，我們選擇以太網進行數據包捕獲。
接下來，我們可以在界面中看到wireshark捕獲的實時數據包。我們解釋數據包的字段。
1.否:表示數據包編號。
2.時間:抓軟件需要多長時間？
3.來源:來源ip。
4.目的地:目的地ip。
5.協議:協議
6.長度:數據包長度。
7.info:包信息。
接下來，我們可以單擊壹條解析的數據來查看該數據包的詳細信息。
在搶包的過程中，我們可以點擊圖標開始或停止。開始或停止抓取數據包。
接下來簡單介紹壹下在Filter中源Ip和目的Ip的過濾表達式的編寫。
首先我們填IP。過濾器處的addreq 192.168.2 . 101。表示源ip和目的ip都是192.168.2 . 105438+0。(eq換成= =同效果)
填寫過濾器:IP . src = = 192.168.2 . 101。意思是獲取源地址為192.168.2 . 101的數據包。
填寫過濾器:IP . dst = = 119.167.140.103。意思是獲取目的地址為119.167.140.103的數據包。
填寫過濾器:IP . dst = = 119.167.140.103或IP . dst = = 192.168 . 2 . 45。表示獲取目的地址為119.167.140.103或192.168.2.45的數據包。(此方法的示例主要說明了或的用法。or前後可以用不同的表達。)
填寫過濾器:IP . dst = = 119.167.140.103和IP . src = = 192.168.2 . 6438+00655。意思是獲取目的地址為119.167.140.103，源地址為192.168.2 . 101的數據包。(此方法的示例主要說明和的用法)
問題3:如何讀取wireshark的捕獲包的數據？啟動wireshark後，選擇工具欄中的快捷鍵(標有紅色的按鈕)開始新的實時捕獲。
主界面上還有壹個接口列表(如下圖紅色標記1)，列出了系統中安裝的網卡。也可以通過選擇壹個可以接收數據的網卡來開始抓取數據包。
啟動時可能會遇到這樣的問題:彈出壹個對話框，說NPF驅動沒有啟動，所以不能搶包。在win7或Vista下，在C: \system\system32下找到以管理員身份運行的cmd.exe，然後輸入net start npf啟動npf服務。
重啟wireshark就可以搶包了。
在搶包之前，也可以做壹些設置，如上圖紅色圖所示。點擊進入設置對話框。具體設置如下:
接口:指定抓取包的接口(網卡)(系統會自動選擇網卡)。
限制每個數據包:限制每個數據包的大小，默認情況下沒有限制。
在混雜模式下捕獲數據包:是否打開混雜模式。如果是開著的，把所有的包都搶過來。壹般來說，妳只需要監聽這臺機器接收或發送的數據包，所以妳應該關閉這個選項。
過濾器:過濾器。僅獲取符合過濾規則的數據包。
文件:您可以輸入文件名，將捕獲的包寫入指定的文件。
使用環形緩沖:是否使用環形緩沖。默認不用，就是壹直搶包。循環緩沖僅在寫入文件時有效。如果使用循環緩沖，您還需要設置文件的數量以及要回滾的文件的大小。
實時更新數據包列表:如果選中該復選框，每個數據包在被截獲時可以實時顯示，而不是在嗅探過程後顯示所有截獲的數據包。
點擊“確定”按鈕開始數據包捕獲，將顯示不同接收數據包的統計信息。點擊“停止”按鈕停止數據包捕獲後，面板上會顯示捕獲數據包的分析結果，如下圖所示:
為了讓抓取的包更有針對性，在抓取包之前就啟動QQ視頻聊天。因為QQ視頻使用的是UDP協議，所以大部分抓取的數據包都使用UDP協議。
3.抓包結果的描述
wireshark的數據包捕獲結果的整個窗口分為三個部分:最上面是數據包列表，用於顯示每個截獲的數據包的匯總信息；中間是協議樹，用於顯示所選數據包所屬的協議信息；最下面是十六進制形式的數據包內容，用來表示數據包在物理層傳輸時的最終形式。
Wireshark可以方便地分析截獲的數據包，包括源地址、目的地址、協議等。
在上面顯示的包列表中，第壹列是編號(比如第1個包)，第二列是攔截時間(0.000000)，第三列是源地址(115.5438+055.39.93)。第四列destination是目的地址(115.155.39 . 112)，第五列protocol是這個包使用的協議(這裏是UDP協議)，第六列info是壹些其他信息，包括源端口號和目的端口號(源端口:58438)。
中間是協議樹，如下所示:
通過這個協議樹，我們可以得到更多關於被攔截數據包的信息，比如主機的MAC地址(以太網II)、IP地址(互聯網協議)、UDP端口號(用戶數據報協議)以及UDP協議的具體內容(數據)。
底部是以十六進制顯示的數據包的具體內容，如下圖所示:
這是截取的數據包在物理介質上傳輸時的最終形式。在協議樹中選中壹行時，其對應的十六進制代碼也會被選中，這樣就可以方便地分析各種協議的數據包。
4、......& gt& gt
問題四:如何分析數據包判斷網絡故障？從網絡抓包可以分析出很多東西，其中壹個就是用來調試的。
根據個人經驗，有幾種情況可以用包調試:
1.通過數據包的存在與否來判斷故障。壹般用於防火墻策略調試，防火墻上抓包，或者交換機上鏡像抓包，或者交換機有嵌入式抓包功能等場景。這種抓取不需要太多的分析。
2、網絡故障，已經明確網絡設備配置沒有問題，通過搶包判斷問題。我主要把這個分為行為判斷和協議判斷。
1)最常見的方式是通過捕獲的數據包數量來判斷網絡行為是否正常。比如壹次ARP病毒爆發，肯定會收到大量ARP數據包；攻擊往往體現在大量的數據包中(但壹般來說，判斷這種攻擊行為的數據包捕獲不是第壹步，判斷攻擊特征時只需要捕獲數據包即可)；當然，還有很多其他情況，適用於按抓到的包數分析。
2)判斷通信質量，抓包中有大量的重傳，此時通信質量壹般不會很好。此外，在視頻和語音應用場景中，有時需要通過時間統計來判斷通信故障，以分析和定位視頻和語音的通信質量。
3)協議判斷，比如win2008和win2003通訊時，因為窗口的原因。
規模不兼容，導致窗口小，程序設計得當，通信變化非常慢。這些判斷是基於對包捕獲協議的分析；此外，協議分析也可能用於不同制造商之間的SIP通信對接，壹種方式是數據包捕獲分析。
總的來說，協議分析要求很高，很多人可以說能把基礎學好。不過對於工作多年的人來說，TCP/IP協議學習壹般都是很多年前的事了，不同的操作系統對協議棧的實現也不壹樣。這種分析工作壹般是為了在問題出現後解決問題。
說了這麽多，我個人對抓包分析的看法是，排錯問題的關鍵是思維，真正用到協議層判斷的場景相對較少，新手不必太糾結。但另壹方面，能深入協議層調試的網絡運營商都是好學的，屬於高級調試。
問題五:如何分析wireshark壹般來說，Wireshark在搶包的時候不需要過濾，在分析數據的時候過濾掉妳想要的數據就可以了。
1.具體來說，捕捉->；接口->；(選擇您的網卡)開始
此時數據界面顯示的是當前網卡的所有數據和協議。
2.向下就是找到我們想要的數據。
教妳壹些技巧，比如我們要找ip地址為192.168.2 . 110的交互數據。
可以填寫過濾器:IP。addr = = 192.168 . 2 . 110(按回車鍵或點擊應用即可)。
如果我們只想抓TCP IP。addr = = 192.168.2 . 110 &；& ampTcp(註意小寫)
如果不想看到ackip . addr = = 192.168.2 . 110 &；& amptcp & amp& amptcp.len！= 0
如果想看到數據包中值為5252的數據(註意是16)
IP . addr = = 192.168.2 . 110 & amp；& amptcp & amp& amptcp.len！= 0 & amp& amp(data.data包含5252)
3.有許多過濾方法。妳可以點擊快遞。裏面有壹些選項。妳自己試試。
用好壹個工具很重要，但是需要長期的積累。自己多使用，多看教程也是可以的。
問題6:如何查看和下載wireshark軟件包數據？目前有中文版，為了演示方便，使用中文版。當然，英文版是主流。
打開wireshark軟件，運行軟件，進入其界面。wireshark軟件的界面布局合理簡潔。
接下來，選擇wireshark的數據包捕獲接口。雙擊界面列表項，進入抓包界面的設置界面。
選擇您的計算機正在使用的網卡。比如現在這裏用的無線網卡，接口列表上有跳號。
點擊開始進入搶包界面，然後開始搶包。界面顯示抓袋動態，記錄抓袋過程。
當妳抓完包後，點擊按鈕停止抓包，就是有紅叉的那個。
最後，選擇Save按鈕並選擇要保存的位置。以後可以用wireshark打開保存的文件進行歷史分析。
問題7:如何查看抓取的數據？對於標準的Http return，如果標記了Content-Encoding:Gzip的return，則可以在wireshark中直接查看原文。因為在移動網絡的開發中，壹些移動網關會對顯式標記了Gzip的數據進行解壓縮，以防止移動瀏覽器獲取無法解壓縮的Gzip內容，所以很多移動開發者選擇了非標準的Http頭。也就是說，Http返回頭沒有標準的Content-Encoding:Gzip屬性。這使得無法在wireshark中直接查看它。
此時將抓取包得到的數據以raw的形式保存為文件，然後用UE在16中查看，去掉文件中的非Gzip壓縮數據，這樣就可以用Gzip解壓工具解壓文件，查看原文了。Gzip數據以1F8B開頭，可以用來劃分文件中的Gzip和非Gzip數據。
問題8:如何利用網絡抓包工具獲取的數據分析tcp/ip Telnet協議是tcp/ip協議家族中的壹員，是互聯網遠程登錄服務的標準協議和主要模式。它使用戶能夠在本地計算機上完成遠程主機工作。使用最終用戶計算機上的telnet程序連接到服務器。最終用戶可以在telnet程序中輸入命令，這些命令將在服務器上運行，就像是在服務器的控制臺上直接輸入的壹樣。您可以在本地控制服務器。要啟動telnet會話，您必須輸入用戶名和密碼才能登錄到服務器。Telnet是遠程控制Web服務器的常用方法。
壹.準備工作
虛擬機虛擬箱(遠程登錄服務器)
-安裝Windows XP SP3操作系統。
-Telnet服務已啟動。
-添加了壹個用於遠程登錄的帳戶，用戶名和密碼是micooz。
主機Windows 8.1專業版(遠程登錄客戶端)
-安裝了分析工具Wireshark 1.11.2。
-安裝了Telnet客戶端。
PS:虛擬機網卡選擇橋接模式。
問題9:如何查看wireshark軟件捕獲的數據？wireshark是壹個網絡包，用於捕獲機器上的網卡。當您的機器上有多個網卡時，您需要選擇壹個網卡。
單擊capture-& gt；接口..出現以下對話框，並選擇正確的網卡。然後點擊開始按鈕，開始搶包。
WireShark主要分為這些接口。
1.顯示過濾器，用於過濾。
2.數據包列表窗格，顯示捕獲的數據包，帶有源地址、目的地址和端口號。不同的顏色代表
3.數據包詳細信息窗格，顯示數據包中的字段。
4.剖析器窗格(16二進制數據)
5.雜項(地址欄，雜項)
問題wireshark完成抓包後，如何分析會有大量無用的幹擾包(比如妳的ARP請求，妳電腦其他軟件的後臺更新等。)直接？建議妳做壹個過濾器，只抓取妳電腦到新浪的會話(或者只抓取HTTP協議)，然後妳得到的所有數據包都是妳想要的。當妳開始訪問時，這整個包就是妳從新浪服務器回復的包。