wireshark 与计算机网络额不得不说的秘密---->16位进制面板（解析器）的介绍

Wireshark简介

先简单说下，现代意义上网络的传输过程：

1.分层（这里介绍五层协议划分结构）：从高层到底层分别是应用层->传输层->网络层->数据链路层->物理层，高层调用低层服务

2.物理层传输的是MAC帧，MAC帧是上层下来的数据包封装之后的结果

Wireshark是一个网络封包分析软件，说白了，就是Wireshark将网络上传输的数据包（MAC帧）给截获了，然后解剖分析。。。

据包捕获的原理：为了进行数据包,网卡必须被设置为混杂模式。在现实的网络环境中,存在着许多共享式的以太网络。这些以太网是通过Hub 连接起来的总线网络。在这种拓扑结构的网络中,任何两台计算机进行通信的时候,它们之间交换的报文全部会通过Hub进行转发,而Hub以广播的方式进行转发,网络中所有的计算机都会收到这个报文,不过只有目的机器会进行后续处理,而其它机器简单的将报文丢弃。目的机器是指自身MAC 地址与消息中指定的目的MAC 地址相匹配的计算机。网络监听的主要原理就是利用这些原本要被丢弃的报文,对它们进行全面的分析,这样就可以得到整个网络中信息的现状。

下面介绍实例，使用wireshark捕获发送给本机的数据包

1.选择接口，这是wireshark监听的对象，所有经过此接口的包都会被抓获

2.开始捕获，停止捕获，

3.设置过滤原则，获取发送给自己的数据包

ip.dst==本机ip（本机ip查看方法，cmd命令下ipconfig，查看IPv4）

4.双击某行（一行就是一个数据包），下面开始介绍16进制面板

5.解析器（16进制查看面板）

第一行是，对该数据包的整体介绍，字节大小等描述

第二行，在“详细信息”窗口内的“Ethernet II”项目，即是MAC帧的首部信息。双击改项展开，可见MAC帧首部的  详细分析，对应“解析器”窗口中的16进制数据会反蓝显示。单击某个字段，对应的首部字段均会反蓝显示

展开后，有目的物理地址，源物理地址，ip类型

第三行，internet protocol，是网络层传输的IP数据包，对应了IP数据包的格式

(1)版本　占4位，指IP协议的版本。通信双方使用的IP协议版本必须一致。目前广泛使用的IP协议版本号为4（即IPv4）。关于IPv6，目前还处于草案阶段。

(2)首部长度　占4位，可表示的最大十进制数值是15。请注意，这个字段所表示数的单位是32位字长（1个32位字长是4字节），因此，当IP的首部长度为1111时（即十进制的15），首部长度就达到60字节。当IP分组的首部长度不是4字节的整数倍时，必须利用最后的填充字段加以填充。因此数据部分永远在4字节的整数倍开始，这样在实现IP协议时较为方便。首部长度限制为60字节的缺点是有时可能不够用。但这样做是希望用户尽量减少开销。最常用的首部长度就是20字节（即首部长度为0101），这时不使用任何选项。

(3)区分服务　占8位，用来获得更好的服务。这个字段在旧标准中叫做服务类型，但实际上一直没有被使用过。1998年IETF把这个字段改名为区分服务DS(Differentiated Services)。只有在使用区分服务时，这个字段才起作用。

(4)总长度　总长度指首部和数据之和的长度，单位为字节。总长度字段为16位，因此数据报的最大长度为216-1=65535字节。

　　在IP层下面的每一种数据链路层都有自己的帧格式，其中包括帧格式中的数据字段的最大长度，这称为最大传送单元MTU(Maximum Transfer Unit)。当一个数据报封装成链路层的帧时，此数据报的总长度（即首部加上数据部分）一定不能超过下面的数据链路层的MTU值。

(5)标识(identification)　占16位。IP软件在存储器中维持一个计数器，每产生一个数据报，计数器就加1，并将此值赋给标识字段。但这个“标识”并不是序号，因为IP是无连接服务，数据报不存在按序接收的问题。当数据报由于长度超过网络的MTU而必须分片时，这个标识字段的值就被复制到所有的数据报的标识字段中。相同的标识字段的值使分片后的各数据报片最后能正确地重装成为原来的数据报。

(6)标志(flag)　占3位，但目前只有2位有意义。

●　标志字段中的最低位记为MF(More Fragment)。MF=1即表示后面“还有分片”的数据报。MF=0表示这已是若干数据报片中的最后一个。

●　标志字段中间的一位记为DF(Don’t Fragment)，意思是“不能分片”。只有当DF=0时才允许分片。

(7)片偏移　占13位。片偏移指出：较长的分组在分片后，某片在原分组中的相对位置。也就是说，相对用户数据字段的起点，该片从何处开始。片偏移以8个字节为偏移单位。这就是说，每个分片的长度一定是8字节（64位）的整数倍。

(8)生存时间　占8位，生存时间字段常用的的英文缩写是TTL(Time To Live)，表明是数据报在网络中的寿命。由发出数据报的源点设置这个字段。其目的是防止无法交付的数据报无限制地在因特网中兜圈子，因而白白消耗网络资源。最初的设计是以秒作为TTL的单位。每经过一个路由器时，就把TTL减去数据报在路由器消耗掉的一段时间。若数据报在路由器消耗的时间小于1秒，就把TTL值减1。当TTL值为0时，就丢弃这个数据报。

(9)协议　占8位，协议字段指出此数据报携带的数据是使用何种协议，以便使目的主机的IP层知道应将数据部分上交给哪个处理过程。

(10)首部检验和　占16位。这个字段只检验数据报的首部，但不包括数据部分。这是因为数据报每经过一个路由器，路由器都要重新计算一下首部检验和（一些字段，如生存时间、标志、片偏移等都可能发生变化）。不检验数据部分可减少计算的工作量。

(11)源地址　占32位。

(12)目的地址　占32位。

        所以，同理transmission就是传输层的数据包，这里就不再介绍了，怎么样，对Wireshark是不是有了简单的认识了呢。。。。。
        ps：关于其他安全工具，请 关注专栏《网络安全从初级入门到额高级入门。。。》 。学习永无止境，本人才疏学浅，如果有不当之处，欢迎指教。