ubuntu 下 wireshark安装＋使用

ubuntu 下 wireshark网络抓包使用，wireshark是一个非常有用的网络数据抓宝软件，对于学习网络相关的协议 是有相当大的作用的，RTP RTSP TCP UDP的学习离不开它

wireshark的安装

1.安装wireshark

终端运行：

sudo apt-get install wireshark

2.修改init.lua

直接运行wireshark的话会报错：

Lua: Error during loading:
[string “/usr/share/wireshark/init.lua”]:45: dofile has been disabled

要对其进行修改，终端运行

sudo gedit /usr/share/wireshark/init.lua

倒数第二行改为–dofile(DATA_DIR..”console.lua”)

3.启动软件

终端运行：

sudo wireshark

点击左上角的图标，接下来会提示选择网络端口，我用的是有线，选择eth0.

使用

软件

1、打开wireshark,但是会发现失败，提示权限不对，需要更换为管理员权限

用管理员打开软件，刚开始会出现一个警告界面，直接无视。

２、输入[zzz@ ~]sudo wireshark
打开wireshark，点击选择eth0，分析有线网卡的数据，这个时候发现里面抓取了一些列的网络数据HTTP UDP RTP RTSP 等
选择Capture—>interfaces，选中网卡，之后点击Start，即可开始抓包

３、Fliter表达式
Filter中输入过滤条件，设定过滤表达式后，点击apply应用
地址过滤
ip.dst==192.168.0.138　　目的地址
ip.src==192.168.0.138　 源地址
端口过滤。
tcp.port==8090 源端口和目的端口为8090的都过滤出来
tcp.dstport==8090 过滤目的端口为8090 的
tcp.srcport==8090 过滤源端口为8090的包

分析TCP三次握手过程

我们都知道，在正常情况下的，TCP的连接建立是通过三次握手过程来完成的，如下图展示的一样:

具体描述是：

第一次握手：建立连接时，客户端发送syn包(syn=j)到服务器，并进入SYN_SEND状态，等待服务器确认；
第二次握手：服务器收到syn包，必须确认客户的SYN（ack=j+1），同时自己也发送一个SYN包（syn=k），即SYN+ACK包，此时服务器进入SYN_RECV状态；

第三次握手：客户端收到服务器的SYN＋ACK包，向服务器发送确认包ACK(ack=k+1)，此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握手。 完成三次握手，客户端与服务器开始传送数据.
打开wireshark之后，软件开始监听，我们随便在浏览器中点击一个网站，这个时候电脑就会和别的服务器建立理解，然后就会产生三次握手的报文了。

下面就是我抓到的一些包，看红线部分：

第一次握手：ack=0，syn=1；客户向服务器请求。

第二次握手：ack=1，syn=1.服务器回复

第三握手：ack=1，syn=0.客户确认。

参考文档

1. Ubuntu下使用wireshark进行网络抓包
2. ubuntu 下 wireshark网络抓包使用
3. 使用wireshark常用的过滤命令