Wireshark简介
Wireshark（前称Ethereal）是一个免费开源的网络数据包分析软件。网络数据包分析软件的功能是截取网络数据包，并尽可能显示出最为详细的网络数据包数据。Wireshark是目前全世界最广泛的网络数据包分析软件之一。
官网地址
https://www.wireshark.org/
Wireshark使用目的
以下是一些使用Wireshark目的的例子：
网络管理员使用Wireshark来检测网络问题
网络安全工程师使用Wireshark来检查信息安全相关问题
开发者使用Wireshark来为新的通信协议除错
普通用户使用Wireshark来学习网络协议的相关知识
使用方法
用一些过滤参数可以抓到你想要的包，过滤器语法请参考 man pcap-filter(7).
过滤 TCP 包
只想看到 TCP 数据包，在 "Filter" 拦输入 tcp。
过滤 UDP 包
只想看到 UDP 数据包，在 "Filter" 拦输入 udp。
过滤指定 IP 地址的包
将 1.2.3.4 替换为要查看的 IP 地址。
只想查看发到某个特定地址的数据包，输入 ip.dst == 1.2.3.4。
只想查看从某个特定地址发出的数据包，输入 ip.src == 1.2.3.4。
要查看某个特定地址的所有数据包，输入 ip.addr == 1.2.3.4。
端口过滤
tcp.port ==80, 端口为80的
tcp.srcport == 80, 只显示TCP协议的源端口为80的。
Http模式过滤
http.request.method=="GET", 只显示HTTP GET方法的。
窗口介绍
封包信息介绍
这个面板是我们最重要的，用来查看协议中的每一个字段。
各行信息分别为
Frame: 物理层的数据帧概况
Ethernet II: 数据链路层以太网帧头部信息
Internet Protocol Version 4: 互联网层IP包头部信息
Transmission Control Protocol: 传输层T的数据段头部信息，此处是TCP
Hypertext Transfer Protocol: 应用层的信息，此处是HTTP协议
对应OSI七层模型
Tcp包的具体内容
实例分析三次握手
三次握手过程为
打开wireshark, 打开浏览器输入 http://blkid.cn
在wireshark中输入http过滤， 然后选中GET /tank HTTP/1.1的那条记录，右键然后点击"Follow TCP Stream",
这样做的目的是为了得到与浏览器打开网站相关的数据包，将得到如下图
图中可以看到wireshark截获到了三次握手的三个数据包。第四个包才是HTTP的， 这说明HTTP的确是使用TCP建立连接的。
第一次握手数据包
客户端发送一个TCP，标志位为SYN，序列号为0， 代表客户端请求建立连接。 如下图
第二次握手的数据包
服务器发回确认包, 标志位为 SYN,ACK. 将确认序号(Acknowledgement Number)设置为客户的I S N加1以.即0+1=1, 如下图
第三次握手的数据包
客户端再次发送确认包(ACK) SYN标志位为0,ACK标志位为1.并且把服务器发来ACK的序号字段+1,放在确定字段中发送给对方.并且在数据段放写ISN的+1, 如下图:
