Wireshark数据包分析实战

章节摘录

版权页：   插图：   SYN数据包没有得到响应，这告诉我们总部和分公司DNS服务器之间区域传送失败导致了DNS故障。现在我们可以进一步找出区域传送失败的原因。办公室之间的路由器或中心办公室的DNS服务器可能是罪魁祸首。为了找出问题，我们可以嗅探中心办公室DNS服务器的流量，看看SYN数据包是不是到达了服务器。 我没有给出中心办公室DNS服务器的流量捕获文件，因为根本就没有。SYN数据包从来没有到达服务器。派遣技术人员查看连接两个办公室的路由器配置后，我们发现中心办公室的路由器被配置成只允许53端口的UDP流量进入，而53端口的TCP流量则被阻止了。这个简单的配置错误阻止了服务器间的区域传送，从而导致分支办公室的客户端无法解析对中心办公室设备的查询。 3.学到的知识 看完这个“犯罪剧”，你一定学到了很多关于调查网络通信问题的知识。当“犯罪”发生后，侦探开始问讯受害者。找到线索，顺藤摸瓜，直到找到罪魁祸首。 在这个场景中，我们一开始先查看了受害者（工作站），然后找到了DNS通信问题这个线索。这个线索将我们带到分支DNS服务器，然后又到中心DNS服务器，最终找到路由器，也就是问题的来源。 在分析时，请尝试从数据包中找出线索。线索不一定能告诉你谁是“罪犯”，但通常它们最终能帮你找出来。 8.3.6生气的开发者 在IT界，开发者和系统管理员经常争吵。开发者总是将程序故障归咎于糟糕的网络设置和设备。系统管理员则倾向于把网络错误和网络缓慢归咎于糟糕的代码。 在这个场景中，程序员开发了一个应用程序，用于跟踪多个商店的销售并报告回中心数据库。为了节约正常工作时间的带宽，他没有设计成实时应用程序。而是等报告数据累积一天后，才在晚上以逗号分隔值（comma—separatedvalue，简称CSV）文件的形式传回，插入中心数据库中。 然而，这个新开发的应用程序工作不太正常。服务器接收到了各个商店传回的文件，但插入数据库的数据是错误的。一些地区的数据丢失了，有的数据还存在错误，而且文件某些部分还丢失了。系统管理员很烦恼，因为程序员抱怨这是网络的问题。程序员一口咬定文件在从商店传到中心数据库时被损坏了。我们就要证明他是错的。 1.侦听线路 为了收集所需数据，我们可以在其中一个商店或中心办公室捕获数据包。故障影响到了所有商店，因此如果这确实是网络导致的问题，那肯定是在中心办公室那边——它是所有商店通信的汇聚点。

媒体关注与评论

“各层次网络管理员的必备手册。”—Linux Pro杂志“一本优秀、易懂且具有良好格式的Wireshark实用指南。”—ARSGEEK.COM“如果您需要掌握数据包分析的基础知识，本书将是您起步的好地方。”—STATEOFSECURITY.COM“本书能够让您有一技之长，它抓住了书名中的关键词—实用，很好地为读者们提供了进行数据包分析所需要知道的基本知识，然后又恰如其分地带领他们进入到使用Wireshrak软件解决现实问题的缤纷世界中。”—LINUXSECURITY.COM“您的网络中有未知主机在和其他主机聊天吗？您的电脑是否在和陌生人说话？您需要一个数据包嗅探器来找出这些问题的真正答案。Wireshark是能够完成这件事情的最佳工具，而本书是学习这个工具最好的方式之一。”—自由软件杂志“新手入门的最佳读物！”—DAEMON NEWS

内容概要

Chris Sanders是一名计算机安全咨询顾问、作家和研究人员。他还是一名SANS导师，持有CISSP、GCIA、GCIH、GREM等行业证书，并定期在WindowsSecurity.com网站和自己的博客ChrisSanders.org发表文章。Sanders每天都会使用Wireshark进行数据包分析。他目前居住在美国南卡罗米纳州查尔斯顿，以国防承包商的身份工作。

书籍目录

目　录



第1章　数据包分析技术与网络基础　1

1.1　数据包分析与数据包嗅探器　2

1.1.1　评估数据包嗅探器　2

1.1.2　数据包嗅探器工作原理　3

1.2　网络通信原理　4

1.2.1　协议　4

1.2.2　七层OSI参考模型　5

1.2.3　数据封装　8

1.2.4　网络硬件　10

1.3　流量分类　15

1.3.1　广播流量　15

1.3.2　多播流量　16

1.3.3　单播流量　16

1.4　小结　17



第2章　监听网络线路　19

2.1　混杂模式　20

2.2　在集线器连接的网络中进行嗅探　21

2.3　在交换式网络中进行嗅探　23

2.3.1　端口镜像　23

2.3.2　集线器输出　25

2.3.3　使用网络分流器　26

2.3.4　ARP欺骗　29

2.4　在路由网络环境中进行嗅探　34

2.5　部署嗅探器的实践指南　36



第3章　Wireshark入门　39

3.1　Wireshark简史　39

3.2　Wireshark的优点　40

3.3　安装Wireshark　41

3.3.1　在微软Windows系统中安装　41

3.3.2　在Linux系统中安装　43

3.3.3　在Mac OS X系统中安装　45

3.4　Wireshark初步入门　45

3.4.1　第一次捕获数据包　45

3.4.2　Wireshark主窗口　46

3.4.3　Wireshark首选项　48

3.4.4　数据包彩色高亮　49



第4章　玩转捕获数据包　53

4.1　使用捕获文件　53

4.1.1　保存和导出捕获文件　54

4.1.2　合并捕获文件　55

4.2　分析数据包　55

4.2.1　查找数据包　56

4.2.2　标记数据包　57

4.2.3　打印数据包　57

4.3　设定时间显示格式和相对参考　58

4.3.1　时间显示格式　58

4.3.2　数据包的相对时间参考　59

4.4　设定捕获选项　60

4.4.1　捕获设定　61

4.4.2　捕获文件设定　61

4.4.3　停止捕获选项　62

4.4.4　显示选项　62

4.4.5　名字解析选项　63

4.5　使用过滤器　63

4.5.1　捕获过滤器　63

4.5.2　显示过滤器　69

4.5.3　保存过滤器　72



第5章　Wireshark高级特性　75

5.1　网络端点和会话　75

5.1.1　查看端点　76

5.1.2　查看网络会话　77

5.1.3　使用端点和会话窗口进行问题定位　78

5.2　基于协议分层结构的统计数据　79

5.3　名字解析　81

5.3.1　开启名字解析　81

5.3.2　名字解析的潜在弊端　82

5.4　协议解析　82

5.4.1　更换解析器　82

5.4.2　查看解析器源代码　85

5.5　跟踪TCP流　85

5.6　数据包长度　86

5.7　图形展示　88

5.7.1　查看IO图　88

5.7.2　双向时间图　90

5.7.3　数据流图　91

5.8　专家信息　92



第6章　通用底层网络协议　95

6.1　地址解析协议　96

6.1.1　ARP头　97

6.1.2　数据包1：ARP请求　98

6.1.3　数据包2：ARP响应　99

6.1.4　无偿的ARP　100

6.2　互联网协议　101

6.2.1　IP地址　102

6.2.2　IPv4头　103

6.2.3　存活时间　104

6.2.4　IP分片　107

6.3　传输控制协议　109

6.3.1　TCP头　109

6.3.2　TCP端口　110

6.3.3　TCP的三次握手　113

6.3.4　TCP终止　116

6.3.5　TCP重置　117

6.4　用户数据报协议　118

6.5　互联网控制消息协议　119

6.5.1　ICMP头　119

6.5.2　ICMP类型和消息　120

6.5.3　Echo请求与响应　120

6.5.4　路由跟踪　122



第7章　常见高层网络协议　127

7.1　动态主机配置协议DHCP　127

7.1.1　DHCP头结构　128

7.1.2　DHCP续租过程　129

7.1.3　DHCP租约内续租　134

7.1.4　DHCP选项和消息类型　134

7.2　域名系统　135

7.2.1　DNS数据包结构　135

7.2.2　一次简单的DNS查询过程　136

7.2.3　DNS问题类型　138

7.2.4　DNS递归　139

7.2.5　DNS区域传送　142

7.3　超文本传输协议　145

7.3.1　使用HTTP浏览　145

7.3.2　使用HTTP传送数据　147

7.4　小结　149



第8章　基础的现实世界场景　151

8.1　数据包层面的社交网络　152

8.1.1　捕获Twitter流量　152

8.1.2　捕获Facebook流量　156

8.1.3　比较Twitter和Facebook的方法　158

8.2　捕获ESPN.com流量　159

8.2.1　使用会话窗口　159

8.2.2　使用协议分层统计窗口　160

8.2.3　查看DNS流量　161

8.2.4　查看HTTP请求　162

8.3　现实世界问题　163

8.3.1　无法访问Internet：配置问题　163

8.3.2　无法访问Internet：意外重定向　166

8.3.3　无法访问Internet：上游问题　169

8.3.4　打印机故障　172

8.3.5　分公司之困　175

8.3.6　生气的开发者　179

8.4　小结　184



第9章　让网络不再卡　185

9.1　TCP的错误恢复特性　186

9.1.1　TCP重传　186

9.1.2　TCP重复确认和快速重传　189

9.2　TCP流控制　194

9.2.1　调整窗口大小　195

9.2.2　用零窗口通知停止数据流　196

9.2.3　TCP滑动窗口实战　197

9.3　从TCP错误控制和流量控制中学到的　200

9.4　定位高延迟的原因　201

9.4.1　正常通信　202

9.4.2　慢速通信——线路延迟　202

9.4.3　慢速通信——客户端延迟　203

9.4.4　慢速通信——服务器延迟　204

9.4.5　延迟定位框架　204

9.5　网络基线　205

9.5.1　站点基线　206

9.5.2　主机基线　207

9.5.3　应用程序基线　208

9.5.4　基线的其他注意事项　209

9.6　小结　209



第10章　安全领域的数据包分析　211

10.1　网络侦察　212

10.1.1　SYN扫描　212

10.1.2　操作系统指纹术　216

10.2　漏洞利用　219

10.2.1　极光行动　219

10.2.2　ARP缓存中毒攻击　225

10.2.3　远程访问特洛伊木马　229

10.3　小结　236



第11章　无线网络数据包分析　237

11.1　物理因素　237

11.1.1　一次嗅探一个信道　238

11.1.2　无线信号干扰　239

11.1.3　检测和分析信号干扰　239

11.2　无线网卡模式　240

11.3　在Windows上嗅探无线网络　242

11.3.1　配置AirPcap　242

11.3.2　使用AirPcap捕获流量　243

11.4　在Linux上嗅探无线网络　244

11.5　802.11数据包结构　246

11.6　在Packet List面板增加无线专用列　247

11.7　无线专用过滤器　248

11.7.1　筛选特定BSS ID的流量　249

11.7.2　筛选特定的无线数据包类型　249

11.7.3　筛选特定频率　250

11.8　无线网络安全　251

11.8.1　成功的WEP认证　251

11.8.2　失败的WEP认证　253

11.8.3　成功的WPA认证　253

11.8.4　失败的WPA认证　255

11.9　小结　256



附录A　延伸阅读　257

编辑推荐

《Wireshark数据包分析实战(第2版)》覆盖了无线WiFi网络中的嗅探与数据包分析技术，同时也给出了嗅探与数据包分析领域丰富的参考技术文档、网站、开源工具与开发库等资源列表。《Wireshark数据包分析实战(第2版)》是国内第一本，也是唯一的一本Wireshark图书；它通过示例捕获文件来讲解Wireshark的应用，是黑帽/白帽/灰帽和安全技术从业人员的必读读书。　　《Wireshark数据包分析实战(第2版)》适合网络管理员、安全工程师、软件开发工程师与测试人员，以及网络工程、信息安全等专业学生与网络技术爱好者阅读。

作者简介

《Wireshark数据包分析实战(第2版)》从网络嗅探与数据包分析的基础知识开始，渐进地介绍Wireshark的基本使用方法及其数据包分析功能特性，同时还介绍了针对不同协议层与无线网络的具体实践技术与经验技巧。在此过程中，作者结合一些简单易懂的实际网络案例，图文并茂地演示使用Wireshark进行数据包分析的技术方法，使读者能够顺着本书思路逐步地掌握网络数据包嗅探与分析技能。最后，《Wireshark数据包分析实战(第2版)》使用网络管理员、IT技术支持、应用程序开发者们经常遇到的实际网络问题(包括无法正常上网、程序连接数据库错误、网速很卡，以及遭遇扫描渗透、ARP欺骗攻击等)，来讲解如何应用Wireshark数据包分析技术和技巧，快速定位故障点，并找出原因以解决实际问题。

---

 Wireshark数据包分析实战下载 精选章节试读 更多精彩书评

---