Wireshark 是 Mac 和 Windows 上最强大的 网络流量分析器之一
。
我将向您展示如何使用 它来查看网络上的流量、
分析数据包数据以及识别 任何有问题或恶意的活动。
该视频是 我 8 年前发布的 Wireshark 教程的更新
。
从那时起，我 对
Wireshark 和 网络安全有了更多的了解。
那么让我们开始吧。
Wireshark 可在 Mac 和 Windows 上免费下载和使用。
首次安装时，
至少在 Mac 上还需要安装一个附加包，因此请确保 阅读首次下载时看​​到的自述文件
。
现在，一旦安装 并打开，您就可以
立即在 捕获部分看到哪些
网络接口卡 正在接收流量。
显然，您必须
设备（即您正在使用的计算机）连接到您想要查看的网络。
一般来说， 您会想要
查看您的 以太网或 Wi-Fi。
根据您的 硬件设置，
嗅探 Wi-Fi 网络上的数据包可能会很困难
。
Mac 用户应该完全没问题。
他们已经 使用 Wireshark 很长时间了，能够做到这一点。 Windows 过去
曾出现过一些问题 。
因此，为了开始并 直接进入并确保我们获得良好的
数据，我们只需双击 以太网即可查看。
当我们双击时， Wireshark 立即
开始捕获 数据包，我们可以根据需要
随时捕获数据包 。
因此，如果您正在对 某个特定
网站或 类似网站进行故障排除，您会希望
然后，一旦您认为您有了 足够的数据，一旦经过了足够的时间，
您就可以继续， 您可以点击左上角的
红色停止按钮 。
现在我们有一些 可以利用的信息。
您可以在屏幕的最底部看到 ，它告诉我们它捕获了
242 个数据包 ，其中所有数据包（
100%） 当前都显示出来。
但是，当我们 在 Wireshark 中过滤内容时，
我们可能会 深入研究，因此我们不会
一次看到所有内容。
都是一个单独的 信息包。
每当信息 通过
网络传输时，它都是 通过数据包传输的。
这意味着每次您加载 网页、每次上传或
下载内容时，
信息包 都会在
您的计算机 和网络服务器之间传输。
在任何给定
时间都会传输大量数据包，特别是当 您的所有物联网设备、智能设备
相互通信并与路由器通信以 确保它们仍然有连接时。
因此， Wireshark 和一般网络审计面临的主要挑战之一
是筛选所有不重要的 东西，或者至少是
目前不重要的东西。
因此，我将向 您展示如何鸟瞰
Wireshark 中发生的所有事情， 然后如何从那里开始
筛选内容，深入挖掘并 找到我们正在寻找的内容。
新的数据包 捕获或 PCAP 时
，我喜欢做的第一件事就是进入 Wireshark 并转到统计下拉菜单。
现在这里有一些 非常酷的统计数据。
我不会一一介绍它们。
我将去一个特定的， 但请注意，这个菜单是存在的，
寻找有关某些 东西的一般信息，那么这是一个非常好的地方，
特别是像这个 捕获文件属性。
这显示了 您面前的整个 PCAP 的属性。
但我想要做的是 点击这个对话选项。
现在，当我这样做时，Wireshark 中会 弹出此窗口
，我 现在可以看到
所以我可以看到，我们在顶部有一些标签来 查看
不同的协议。
例如，我可以转到 TCP 协议，我可以看到这个
特定的 IP 地址
正在 与
我的计算机的 IP 地址进行通信，并且他们
在这次对话中发送了 591 个字节。
我们可以看到 从
A 到 B3、从 B 到 A4 发送了多少个数据包， 以及这些
数据包有多大、对话的持续时间 以及所有这些非常酷的
信息。
我应该提到， 无论何时进行
网络分析， 了解
网络上的一些 IP 地址都是一个好主意。
例如，我知道 我的计算机是 192.168.1.220。
您 只需进入计算机
上的网络设置即可找到它 ，无论
是 Mac 还是 Windows， 它都在那里。
您可能还想知道 路由器的 IP 地址。
如果 您正在尝试排除某个特定设备的故障，
最好
知道 该设备的 Mac 地址，
以便您可以找到 它并查看它是否可以
访问网络。
在本节中要注意的一件事 是，您可以查看您的
计算机（即查看
您的计算机的 IP 地址）是否正在 与未知设备进行长时间对话
。
如果您发现这种情况发生，那么您可以 在 Wiresh ark 中深入挖掘一下，
并尝试发现
通信的目的 是什么或者它
试图与哪个设备进行通信。
事实上，这 提出了一个很好的观点，
我想 退一步来说。
你看，Wireshark 是 一个非常强大的
工具，但它有点像 一个开放世界
沙盒游戏。
最好带着 特定的目标来使用它。
因此，一些示例包括 网络上的设备无法工作，也许您
可​​以使用 Wireshark 来查看是否 存在任何通信。
也许 您组织中的某个人认为
他们已被网络钓鱼， 因此您想重新打开
他们在使用 Wireshark 捕获的 粗略电子邮件中获得的链接（
在安全的机器上），以查看 可以收集到哪些信息。
或者更简单地说，也许只是看看哪些 设备
在您的网络上不断通信，看看是否 可以提高您的带宽。
Wireshark 可以帮助解决所有 这些情况，但您使用的过滤器
和关注的数据包 会有所不同。
因此，本视频的其余部分 将
集中帮助您从一般角度学习 如何使用 Wireshark，
以便 您可以开始自行学习
并寻找 适合您情况的教程。
好的，回到 我们上次中断的对话统计弹出窗口。
这就是 Wireshark 的一些 奇妙之处。
你看，我带 你来这里是为了
鸟瞰 Wireshark 中发生的一切
，但 我们实际上可以使用
这个屏幕来开始 过滤我们的数据包。
因此，我们可以做的是找到 我们想要的 IP 地址，假设我们
想要查看发往 和来自特定 IP 地址的所有数据包。
所以我有我的 IP 地址，我想
找到它在 这个地址 A 字段中的位置。
这只会让 我们的事情变得更容易一些。
然后我将右键单击 我的 IP 地址并将其
应用为过滤器。
然后我要去选择，这里 有许多不同的
选项。
我将快速地回顾一下 这些内容，以便您能大致
了解正在发生的事情。
但您会注意到第 一个将过滤这个特定的
对话流。 这
就是整个对话。
带有两个箭头的 A、B 将过滤在
B 之间发送的任何数据包。从 A 到 B 的箭头将显示 从 A 发送到 B 的任何数据包。下一个是从
B 发送到 A 的任何数据包。 然后我们得到这个
，A 正在 从
任何 IP 地址发送或接收。
这就是 我们实际上要使用的。
但您可以 根据自己的具体情况选择使用哪种方法。
因此，当我单击 此处时，您会注意到
过滤器现在已 自动放置
在顶部。
而且因为我们这里也有端口 ，所以过滤器也包含了端口，而
所以我要 关闭对话窗口。
然后我可以 进入我的过滤器并
删除 该端口号部分。
因此我们可以看到它显示 IP.addr=192.168.1.220。
这样您就可以 找到
发送到或 来自该 IP 地址的任何数据包。
您可以 手动输入此内容，但
我向您展示了如何
通过右键单击 并应用这些过滤器更轻松地完成此操作。
您可以在 Wireshark 中的任何位置执行此操作。
因此您可以在此处单击鼠标右键 并应用过滤器。
您可以关注对话， 我们稍后会讨论。
但不要害怕 使用右键单击。 那里
有很多有价值的 选择。
现在，在我们继续之前，让我们 捕获一个更有趣的 PCAP，以便
我们可以使用一些额外的 数据。
所以我要做的就是 到这里然后
进入文件菜单。
我在 Windows 上使用 Mac。
只需单击 下拉菜单
即可关闭 此特定的 PCAP。
它会问你， 你想保存它吗？
您可以保存您的 PCAP。
您可以导出它们，打开 它们并发送给人们。
我们不想保存这个。
这并不重要。
因此我将点击 继续而不保存。
它让我回到初始屏幕。
现在我要 开始新的捕获，但
我会做好 准备，并在捕获
时加载几个网站， 以便我们
在那里获得一些更好的数据。
好的，我们双击以太网。
现在我只需 加载这一个网站。
我要加载这个其他网站。
确保确实正在加载。
好的，我已经加载了几个网站。
现在让我们继续并点击停止。
现在请注意，我们 这里仍然有这个过滤器。
所以我要将其 删除，以便我们可以看到所有内容。
因此，如果我们查看底部，我们可以看到我们捕获了 5,536 个数据包。
目前，所有作品均已展出。
那么现在怎么办？
嗯，这取决于你在寻找什么。
但是让我们来谈谈 寻找一些一般的东西。
首先，在这个过滤栏中， 您可以查看的一件事是，
您是否有点担心 有人遭到
黑客攻击或网络钓鱼，或者发生了 一些可疑的事情
，通常这 是通过不安全的
服务器、网络 和连接进行的。
因此，您可能想查看 HTTP 而不是加密级别的 HTTPS。
因此，在此处的过滤器中， 您只需输入 HTTP 即可。
您会注意到，当它变成 绿色时，这意味着它是一个可接受的
方程过滤器。
如果是红色的话，那就不起作用了。
所以你需要尝试去弄清楚。
但它是绿色的，所以我们可以按回车键。
现在我们看到了 所有的 HTTP 请求。
现在这恰好来自 我加载的不安全的网站。
它是 HTTP。
我想向你展示一些 有关此事的有趣的事情。
请注意，我们可以单击 其中任何一个数据包。
我们开始 在底部看到这些信息。
让我们关闭其中一些。
我已将这些全部打开。
但我认为 如果我们
从 更高的层次来看待这个问题就会更容易。
所以你可以看到在这个数据包中， 我们封装了许多不同的协议
。
我们有以太网、TCP， 然后我们有 HTTP。
因此， 当我们搜索这个时，我们就会查看这个。
如果我们注意到 Wireshark 以 蓝色突出显示某些内容，那么您
可能会对 Wireshark 中的内容感兴趣。
所以如果我们能够深入研究这个问题 ，我们就能打开它。
您会注意到 我们开始看到
有关 这里发生的事情的信息。
因此我们可以看到它是 通过 Macintosh 和 Intel Mac OS 访问的。
我们可以看到使用了什么浏览器。
所以我们实际上可以做的就是 右键单击这里的其中一个
数据包。
我们可以使用这个跟随 选项，它在这里使用得相当频繁。
我们希望遵循 HTTP 流。
这将为我们弹出一个新窗口， 向我们显示
现在我向您展示这个 HTTP 的原因是，如果您查看
通过加密连接发送的数据包，您 实际上将无法读取任何内容。
一些小事情， 您可能能够
看到发送 它的计算机类型
以及所有这些东西。
但请注意我们在这里得到了什么。
我们有整个网页。
这是我访问的网页。
它现在位于 Wireshark 中。
我可以将它放入编译器， HTML 编译器，它会打印出
网页。
我们已经把所有东西都放在这里了。
这意味着 网络钓鱼就是这样运作的。
网络钓鱼的 工作方式是，有人向
您发送一个链接，该链接可能 看起来像您的
美国银行链接或社交媒体链接。
他们常常都有理由。
也许他们知道您正在 使用美国银行。
所以他们想欺骗你。
他们的目标是你。
然后你打开那个链接。
该链接 看起来恰好
像美国银行的 页面，但事实并非如此。
这是他们建立的页面。
他们可以非常快地建造它们。
现在它通过 HTTP 连接进行。
因此您输入您的用户名和密码。 如果
网络，那么他们就可以进入 Wireshark。
他们可以看到
您 在 Wireshark 中输入的用户名和密码。
这就是简单的 网络钓鱼攻击的实际运作方式。
您可以使用 Wireshark 来执行此操作 ，但您
也可以使用 Wireshark 查看是否发生这种情况 。
所以我只是想向你们展示这一点。
所以我们在这里得到了整个网页。
所以我们可以结束这件事了。
我们 深入研究并看到了
现在我们看到了——因为 我们打开了它并跟踪了该
流，所以我们
看到了 在该流内交换的所有数据包。
这真是太棒了。
但是我们如何看待安全流量？
好吧，为了查看不安全的 流量，我们使用 HTTP。
为了查看安全流量，我们实际上 必须使用 TCP，但使用特定的端口。
这通常是端口 80。
也可以是像 8000、8001、8002 这样的端口。
但通常，您 会查看端口 80。
因此，您需要做的是 输入 TCP.port，然后输入 == 80。
然后按 Enter。
这将显示
在 TCP 端口 80 上发送的所有数据包，即加密
流量。
当我们开始查看 这些数据包中的实际数据时，我们无法读取
它，因为它是加密的。
现在，如果您有 加密密钥，您
实际上可以将其上传 到 Wireshark
并解密它。
因此，如果您在组织网络上执行 一些硬核安全操作，
测试一些东西，并且 希望能够在 Wireshark 中
查看 正在发送或未发送的数据
，您可以将 加密代码上传到 Wireshark，以便
您能够真正看到它。
但这非常先进。
所以我们不会 在这个视频中讨论这个。
现在，由于我们已经 做了一些不同的
过滤器和东西，我 想向您展示如何
在 Wireshark 中创建一个按钮。
因此，我们做了这个过滤器来 显示端口 80 上的所有流量。
我们可以做的是，不必 每次都输入该信息，而是可以转到
屏幕右侧 并单击加号图标。
现在它允许我们创建一个过滤按钮。
因此，我们可以将 其称为 HTTPS，也
可以将其称为端口 80，无论我们想怎么
称呼它。
我们可以输入一些评论。 如果我们愿意，
我们可以 在这里更改过滤器，
现在我们在这里有这个漂亮的 HTTPS 按钮。
因此，如果我们删除 过滤器并查看我们捕获的所有内容
并单击 HTTPS，那么我们就成功了。
现在我们已经创建了第一个按钮。 最后
我将在这里为您提供一堆 过滤器，您
可能应该
为 所有过滤器创建一个按钮，因为
它们确实是 常用的过滤器。
好的，让我们清除这个过滤器。
让我们开始讨论 Wireshark 中的一些着色规则。
您可能已经注意到我有 一些黑线、紫色线和绿色线。
它们都是什么意思？
好吧，最简单的方法 是，我们要
进入这里的 视图菜单，然后
转到着色规则。 在
这里您可以查看并修改 Wireshark 中的 所有着色规则
。
所以你可以看到黑色 与糟糕的 TCP 有关，
红色与 中止的握手
等有关。
这样你就能大概知道一点了。
我将向您展示一些过滤器， 它们可能有助于您查看这些内容，
特别是在 您自己的网络上查看这些内容。
但是，如果您 想知道颜色到底代表什么
可以在这里找到它，并且 可以根据需要进行修改。
因此，如果我们在这里向下滚动 一点，我们就可以开始了。
您会注意到在 滚动条的右侧，我们也可以看到
颜色。
这些就是 Wireshark 所强调的事情。
它是一个分析工具。
因此它可以捕获信息， 很多不同的工具都可以做到这一点。
但随后 Wireshark 会对 这些信息进行自己的分析，这就是
这些彩色 线条的来源。
这些红色和黑色的， Wireshark 说，“嘿，这里可能有
东西。”
这并不是说，“嘿，这 肯定是恶意软件。
你有麻烦了。”
这是，你可能想 看看这个。
如果您正在 这个网络上寻找某些东西
，那么这些都是 不错的起点。
所以我们可以看到我们可能有 一些虚假的重传。
这通常发生在 捕获开始时。
您会注意到，随着捕获的 进行，它有点停止了。
所以我不会真的 担心这个，但
我知道人们确实 在我的其他教程中问过这个问题，
很多人问过这个问题。
但我稍后会向您展示如何 更轻松地找到它们。
我将向您展示一个 只会拉出 Wireshark 标志的过滤器。
所以我们稍后会回到这个问题。
但我想做的一件事是 在这里快速做两件事。
首先，我想 快速向您展示一下偏好设置。
因此在 Mac 中，我将进入 Wireshark 并进入首选项。
但是如果您使用 Wireshark，我相信您也
可以找到如何
在 Windows 上进入首选项的方法。
因此请了解您的偏好。
然后在这里， 布局部分有一个很酷的选项。
因此您可以改变 窗口的布局方式。
因此默认情况下，我们有这个一、 二、三，效果很好。
但是，Wireshark 的一个较新的 功能是，人们
有时喜欢看到的
是，除了在 第三个字段中查看
数据包字节之外， 实际上还有一个
查看数据包图表的选项。
如果你启用该功能，你 实际上就可以看到这个数据包的结构。
我认为这真的很好， 特别是出于教育目的。
因此，您可能需要在 Wireshark 中稍微研究一下，看看
数据包的实际结构， 它有多少个字节，
字节是如何构成的， 诸如此类。
但确实，这也是一个很酷的选择。
我 想向您展示的另一件事是
如何 在 Wires hark 中添加增量时间。
因此，我们将所有这些列都 放在顶部，但它们是完全
可定制的。
所以我可以再次回到我的偏好设置。
这次我将先介绍 外观，然后再介绍专栏。
您会注意到我们可以单击 加号图标来添加新列。
所以我可以给它 起个名字，比如，叫它 delta。
好吧，我就称它为 delta。
然后我们可以双击 这个类型字段并选择类型。
我们想要增量时间。
因此，您可以看到您有 许多不同的选择。
然后我就可以把 这个字段拖到我想要的位置。
所以最后我并不想这样。
因此我们点击“确定”。
您会注意到我们现在有了增量 字段，因此我们也可以
在 Wireshark 中看到增量时间。
好的，现在我们已经了解了 很多用户界面，并且
修改了一些设置。
现在我将向 您展示一些有用的过滤器。
不过我要警告你，视频 的这一部分
可能 对高级
用户更有帮助，或者至少对初级 用户玩过一段时间并正在
寻找一些 特定信息的用户更有帮助。
因此，第一个过滤器是一个通用过滤器， 它将隐藏不太常见的
协议。
因此，为了做到这一点，我们 要到这里来
并 要做感叹号。
然后我们将使用 左括号并
添加 所有我们
不想看到的过滤器。
因此是 ARP 或 ARP 或 STP 或 LLDP 或我猜是 CDP。
然后我们要 关闭括号。
现在，如果我们查看 Wireshark 的底部，我们显示的是 5,536
。
打开那个过滤器，我们 只取出了 11 个，因为就像我说的，
这些并没有被 仔细查看。
但这会 稍微澄清一下，
具体取决于 捕获文件的长度
。
因此您可能想要 将其添加为按钮。
现在我们要看的下一个
是查看所有 TCP SYN 标志，也就是
三次握手的第一部分。
这就是连接 被打开的时候。
所以我们要到 这里进入过滤字段。
对于这个，我们 将执行 TCP.flags。
我们 实际上可以单击并选择它。
我们不必把所有内容都打出来。
Flags.SYN==1，进入。
这些都是我们 三次握手的第一部分。
所以，再说一次，如果你知道如何 进行网络安全，
希望这篇文章能对你有所帮助。
我想你，你知道，你知道 我在这里试图向你展示什么。
因此，这也可能是 一个好的按钮。
下一个过滤器就是 我之前告诉过你的那个。
我们如何才能看到 Wireshark 标记的内容？
我们可以上去这里。
对于这个，我们可以 做 TCP.analysis.flags。
您会注意到， 现在我们只能
看到 来自 Wiresh ark 的标记数据包。
对于那些 真正
第一次使用它 并且
担心网络 出现问题的人
这里开始。
可能什么也没有。
我不认为，你知道，从 这里看，这些只是一些
丢失的数据包
和类似的东西。
重传、快速重传、 虚假重传，但它们
并不像一次性大量发生。
所以你知道，这并不是什么令人担忧的事情， 但如果这就是你所寻找的，那么这里是一个不错的选择
。
查看是否有任何特定的 数据包来自类似失败的
释放，也就是说，
你的一个设备说， 不，我不是在
跟你说话，走开， 这通常是一个危险信号。
我们可以使用 TCP.flags.reset==1的过滤器。
您可以看到它正在自动填充。
我确实有几个这样的。
所以你知道，这绝对是 值得关注的事情。
因此，显然 您可以使用大量的过滤器，甚至可以
在 Wireshark 中充分发挥您的创造力来使用过滤器， 但这些过滤器应该可以帮助您
开始深入挖掘。
就像我说的，这完全取决于 你在寻找什么。
如果您想查看一些 恶意网络活动的示例，您应该
查看这个网站， malware-traffic-analysis.net。
他们有一堆 PCAP 文件可供下载。
因此，您可以直接点击此处查看 流量技术分析。
对于网站上的每个 PCAP，他们都会为 您提供一些目标，以便您可以进入
并进行调查并 尝试弄清楚所有问题
，这为 Wireshark 的开放沙盒世界提供了一些 结构，
解释 他们如何得到
因此，对于任何想要进入网络安全领域的人来说，这都是一个很好的实践 。
我知道有很多 网络安全项目实际上
让学生 使用这些练习。
所以它就是这么好。
我希望您现在知道 如何进入 Wireshark、捕获一些
网络数据， 然后开始深入查找
如果您觉得这个视频有帮助，我将 非常感谢您
在 YouTube 上点赞。
如果您想看到 更多类似的内容，
请不要忘记 订阅该频道。
祝您顺利分析 PCAP 并保护您的网络。
我是安森·亚历山大 (Anson Alexander)， 下期节目再见。