Wireshark——工具

Posted yetj

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了Wireshark——工具相关的知识,希望对你有一定的参考价值。

一、基本信息统计工具

1)捕获文件属性(Summary)

1. File:了解抓包文件的各种属性,例如抓包文件的名称、路径、文件所含数据包的规模等信息

2. Time:获悉抓包的开始、结束和持续时间

3. Capture:抓包文件由哪块网卡生成、OS版本、Wireshark版本等信息

4. Display:剩下的是汇总统计信息,数据包的总数、数量以及占比情况、网速等

技术分享图片

2)协议分级(Protocol Hierarchy)

1. Protocol:数据包所归属的协议名称

2. % Packets:抓包文件中所含数据包个数在每一种协议类型中的占比情况

3. Packets:每一种协议类型数据包的个数

4. % Bytes:抓包文件中所含数据包字节数在每一种协议类型中的占比情况

5. Bytes:每一种协议类型数据包的字节数

6. MBit/s:某种协议类型的数据包在抓包时段内的传输速率

7. End Packets:隶属于该协议类型的数据包的纯粹数量,例如TCP,纯粹指的是TCP头部之后没有高层协议头部(HTTP头等)

8. End Bytes:隶属于该协议类型的数据包的纯粹字节数

9. End Bits/s:隶属于该协议类型的数据包在抓包时段内的纯粹传输速率

技术分享图片

3)对话(Conversation)

一次对话是指发生于一对特定端点(主机、服务器或网络设备)之间的所有流量。

TCP或UDP对话包括了4个特征(源、目IP地址和源、目端口号)全都匹配的数据包。

1. Ethernet标签:不同MAC地址的主机之间的交流

2. IPv4标签:不同IPv4地址的主机之间的沟通

3. TCP或UDP:不同IPv4地址的主机之间建立的各种TCP或UDP,可以发现某台主机是否打开过多连接,是否与稀奇古怪的端口号建立了连接。

技术分享图片

4)端点(Endpoints)

此工具用来观察第二、三、四层端点(Ethernet端点、IP端点、TCP/UDP端点)有关的统计信息。

粗看与对话窗口类似,但对话窗口中会有Address A与Address B两个,而端点中只有一个。

技术分享图片

5)HTTP统计信息

1. 分组计数器(Packet Counter):展示HTTP数据包的总数,请求数据包和响应数据包的数量。

技术分享图片

2. 请求(Requests):主机请求访问Web站点的分布情况,以及所访问的Web站点的具体资源。

技术分享图片

3. 负载分配(Load Distribution):HTTP数据包(请求和响应)访问过哪些站点。

技术分享图片

6)IP属性统计信息

1. All Addresses:所有的地址

技术分享图片

2. Destinations and Ports:目的地址和端口号

技术分享图片

3. IP Protocol Types:IP协议类型

技术分享图片

4. Source and Destination Addresses:源和目的地址

技术分享图片

 

二、高级信息统计工具——IO图表(IO Graphs)

1)IO图表(IO Graphs)

1. 样式:Line(线)、Impulse(脉冲)、Fbar(粗线)、Dot(点)

2. X轴配置

间隔(Tick Interval)取值范围0.001秒~10分钟

一天时钟(View as time of day)勾选后会按一天当中的具体时刻来显示

3. Y轴配置

速率单位(Unit):Pickets、Bytes、Bits、Advanced(包括SUM、MAX等)

平滑速率(Smooth):每个计时单位内的平均传输速率

技术分享图片

2)IO图表高级配置(Y轴Unit参数Advanced选项)

单位时间:通过选择X轴参数配置区域内的Tick Interval下拉菜单项来指定

1. SUM(*):每个单位时间内实际传输的IP数据包总字节数

2. COUNT FRAMES(*):每个单位时间内发生匹配该条件的数量,例如重传数(tcp.analysis.retransmission)

3. COUNT FIELDS(*):每个单位时间内所传数据包中该字段出现的次数

4. MAX(*):每个单位时间内所传数据包相关参数的最高值,例如距离上一个捕获的包的时间间隔(frame.time_delta)

5. MIN(*):每个单位时间内所传数据包相关参数的最低值

6. AVG(*):每个单位时间内所传数据包相关参数的平均值

7. LOAD(*):生成与响应时间有关的图形

 

三、高级信息统计工具——TCP流图形(TCP StreamGraph)

1)时间序列(Stevens)

在单位时间内,受监控的TCP流在某个方向所传数据的字节流。

一条连绵不断的斜线就表示正常的文件传输,而斜线时断时续,表示文件传输存在问题;

斜线的角度越大,表示文件的传输速率很高,反之,文件传输缓慢。

技术分享图片

2)时间序列(tcptrace)

监控TCP连接的诸多详细信息。

分析与此TCP有关的种种问题,包括TCP确认、TCP重传、以及TCP窗口大小等信息。

技术分享图片

上面一条表示TCP接收窗口,当两条曲线之间空间较大的时候,表示接收主机尚有缓存;当近乎重叠的时候,TCP窗口已满(window-full)不能继续传输数据

下面一条表示在单位时间内,受监控的TCP流在某个方向所传数据的字节流(也就是Stevens)

图中每个小竖条(放大后就能看到)表示TCP数据包起始和终止序列号都与纵坐标上的数字相对应。

3)吞吐量(Throughput)

不但能了解TCP连接的吞吐量,而且还能判断TCP连接是否稳定。

统计单位时间内在某一指定方向上传输的数据包的字节数(左边的Y轴);

以此统计出来的吞吐量只是某个方向上传输的应用程序数据(不含IP头与TCP头)的吞吐量,单位为字节/秒(右边的Y轴)。

左边的Y轴就是包中的Len值,对应的是深蓝色的点;右边的Y轴对应的是咖啡色的斜线。

技术分享图片

4)往返时间(Round Trip Time)

了解某条TCP连接中特定方向上的所有TCP报文段的往返时间(RTT)

X轴为序列号字段值,Y轴为时间值。

技术分享图片

5)窗口尺寸(Window Scaling)

通过统计发送方的接收窗口大小,以此了解特定TCP连接的性能。

当窗口变小时,相关应用程序的吞吐量会相应降低,窗口的大小完全受控于建立连接的两个端点(服务器和客户端),大小的变化与网络性能无关。

技术分享图片

 

四、专家信息(Expert Info)工具

窗口由Errors、Warnings、Notes、Chats等构成。

技术分享图片

1)Errors

数据包中有严重错误。

校验和错误:Ethernet及IP校验和错误。

伪造的数据包:一般涉及具体的应用层协议。

技术分享图片

2)Warnings

数据包中有一般性问题。

与TCP窗口有关的事件TCP window full或TCP zero window,一般是连接设备忙不过来所致。

与TCP报文段丢失或失序有关的事件,丢失是因为未抓全某个TCP数据流的所有TCP报文段;失序是因其感知到了TCP报文段未按发出的顺序到达接收主机。

技术分享图片

3)Notes

数据包中有可能会引发故障的异常现象,例如TCP重传、重复确认、快速重传等现象。

技术分享图片

4)Chats

数据包都符合常规流量的特征,包括SYN、FIN、RST以及各种状态码的HTTP事件。

技术分享图片

 

 

转载来源:http://www.cnblogs.com/strick/p/6344486.html

感谢作者

 

以上是关于Wireshark——工具的主要内容,如果未能解决你的问题,请参考以下文章

除了wireshark,还都有哪些抓包工具呢

GNU开发工具——WireShark网络分析工具

有没有比 wireshark 和 fiddler 更方便的抓包工具

工具-WireShark网络HTTP抓包使用教程

Wireshark协议分析工具应用

转帖:linux下wireshark安装和使用