Wireshark网络分析实战笔记Expert Info工具

Posted nceuaprsf

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了Wireshark网络分析实战笔记Expert Info工具相关的知识,希望对你有一定的参考价值。

Expert Info:自动识别网络中异常,并给出导致异常的具体原因


使用方法:Analyze菜单栏中的Expert Information选项或直接点击wireshark界面左下角的圆点



Expert Info事件:


Errors:

严重错误,譬如:畸形数据包或识别出数据包协议头部的某些字段和预期值不符


Warn:

一般性问题(应用程序问题或通信问题),譬如:TCP zero window ,TCP window full ,TCP报文段失序,TCP报文段丢失


Note:

可能引发故障的异常现象(正常行为),譬如:TCP重传,重复确认,快速重传


Chat:

符合常规流量的特征,譬如:SYN,FIN,RST



小技巧:如何给数据包添加注释信息:右键数据包-Packet Comment




基于Expert Info生成的信息配置显示过滤器:




1、_ws.expert.group:根据信息类型过滤,共分为12种

信息类型显示过滤器表达式
Checksum:校验和类_ws.expert.group == 0x1000000
Sequence:序列号类_ws.expert.group == 0x2000000
Response:响应类_ws.expert.group == 0x3000000
Request:请求类_ws.expert.group == 0x4000000
Undecoded:不能识别类_ws.expert.group == 0x5000000
Reassemble:重组问题类_ws.expert.group == 0x6000000
Malformed:畸形数据包类_ws.expert.group == 0x7000000
Debug:不应该出现匹配此类型的数据包_ws.expert.group == 0x8000000
Protocol:协议类_ws.expert.group == 0x9000000
Seurity:_ws.expert.group == 0xa000000
Comment:含注释信息类_ws.expert.group == 0xb000000
Decryption:_ws.expert.group == 0xc000000

2、_ws.expert.message:基于特定字符的匹配,譬如:contains , matches


3、_ws.expert.severity:根据故障高低,error,warn,note

事件类别显示过滤器表达式
Error_ws.expert.severity == 0x800000
Warn_ws.expert.severity == 0x600000
Note_ws.expert.severity == 0x400000
Chat_ws.expert.severity == 0x200000
Comment_ws.expert.severity == 0x100000
Ok_ws.expert.severity == 0x1





常见的Errots事件:


1.检验和错误
2.伪造的数据包问题
小技巧:如何关闭IP和TCP的校验和的检查:打开Edit菜单栏下preferences选项,在protocol中分别找到IPv4和TCP,取消勾选Validate the IPv4 checkum if possible



常见的Warn事件:


1.含Readdembly字样的几种子事件:未抓到重组的数据包
2.与TCP窗口有关的两种子事件(含window字样的子事件):存在TCP zero window ,TCP window full等问 题,都是建立连接设备忙不过来所致
3.与TCP报文段丢失或失序有关的三种子事件(含segment字样):TCP报文丢失由于未抓全所有的TCP报文段,TCP报文段失序是因为感知到TCP报文段未按发送顺序接收,一般都是由网络故障引发



常见的Notes事件:


1.TCP重传,重复确认,快速重传(含retransmissions,fast retransmission, duplicate ack):预示着网速慢,丢包或主机忙不过来
2.TCP keep-live(含keep-live):预示TCP或基于TCP应用程序问题
3.IP数据包生存时间(time to live):预示路由问题




以上是关于Wireshark网络分析实战笔记Expert Info工具的主要内容,如果未能解决你的问题,请参考以下文章

Wireshark网络分析实战笔记抓包过滤器

Wireshark网络分析实战笔记基本信息统计工具的使用方法

Wireshark网络分析实战笔记基本信息统计工具的用法

Wireshark网络分析实战笔记抓包过滤器

Wireshark网络分析实战笔记显示过滤器

Wireshark网络分析实战笔记ARP和IP