网络报文分析工具的使用 - 跟小智一起学网络（4）
前言
哈喽，小伙伴们，大家好，我是小智。
在后面的网络知识学习中，都离不开对数据报文的分析。俗话说，工欲善其事，必先利其器。掌握网络分析工具的基本使用，对我们后面的学习会起到事半功倍的效果。
网络世界中的数据报文（我们也叫它数据包）看不见摸不着，但是通过 Wireshark 这款软件，我们不仅可以抓取到报文，而且还可以详细分析报文的每个字段。
这个章节包含的内容如下：
tcpdump的安装
由于前面安装的 CentOS 没有图形化界面，所以在 CentOS 里面不能直接使用 Wireshark 抓包，我们要先通过 Linux 系统的 tcpdump 工具抓取并保存报文，然后将报文的 pcap 文件拖到 Windows 系统上用Wireshark 进行分析。
我们在 CentOS 上使用 yum 工具安装 tcpdump：
tcpdump的使用
tcpdump 提供了各种抓包选项和过滤表达式，在这个章节，我们掌握最基本的最常用的就好，后面如果有需要，我们可以在虚拟机上通过 man tcpdump 查询相关选项的含义。
现在我们开始抓包，首先打开两个连接虚拟机的终端窗口，在第一个窗口，执行 tcpdump 的抓包命令：
tcpdump -i ens33 tcp -n -v -w http.pcap
在第二个窗口，我们用 curl 工具访问http://info.cern.ch/网站的首页，触发 Linux 操作系统发出网络报文：
再回到第一个窗口，ctrl+c 停止抓包，可以看到当前目录上已经生成了一个 http.pcap 的文件，然后使用 sz http.pcap 将文件拖到 Windows 系统上面。到这里，tcpdump 抓包就结束了，等后面Wireshark 安装好了之后，我们把 http.pcap 文件打开就可以看到报文了。
有没有小伙伴觉得很奇怪，为什么小智要选 http://info.cern.ch/ 这个网站作为例子呢？其实很多人可能不知道，它是世界上第一个网站，从 1991 年 8 月 6 日首次开放至今，至今已经快 30 年了。
关于 tcpdump 常用的抓包和过滤选项，小智这里整理了一下：
抓包选项
-i: 指定网络接口，也就是要抓包的网卡名称，小智这里用的是 ens33，是通过ifconfig 命令查看到的；
-w: 指定抓包文件名称，将报文保存到文件，以便后续使用 Wireshark 进行分析，注意文件后缀名是pcap。不加-w时，报文信息会在终端上显示出来；
-n: 指定将每个监听到数据包中的域名转换成 IP 地址后显示，不把网络地址转换成名字；
-nn: 指定将每个监听到的数据包中的域名转换成 IP 、端口从应用名称转换成端口号后显示；
-v: 解析和打印时，产生详细的输出，如果使用了 -w 选项写入文件时，每秒报告一次捕获的数据包数量；
-c: 限制要抓取报文的个数，抓到指定报文数后，抓包自动停止；
过滤选项
主机过滤： host、src host（源主机）、dst host（目的主机），例如 tcpdump -i enss33 host 192.168.1.2，表示只抓取IP地址为192.168.1.2的报文；
协议过滤： ip、tcp、udp、icmp、arp、ipv6；
端口过滤： port、src port（源端口）、dst port（目的端口）；
逻辑表达式： and（且）、or（或）、not（非）；例如 tcpdump -i enss33 host 192.168.1.2 and tcp，表示抓取IP地址为192.168.1.2同时是tcp协议的报文；
Wireshark的安装
Wireshark 是一款免费开源的抓包和分析工具，我们可以从官网上下载相应的版本，地址为：
https://www.wireshark.org/#download。
小智的电脑是64位Win10系统，所以选择下载的是 Windows Installer(64-bit)。Wireshark 的安装很简单，下载完成后，按照软件提示一路点击 Next 安装就可以了。
Wireshark的使用
使用Wireshark抓包
打开 Wireshark 3.4.0，主界面如下：
在主界面上可以看到电脑网卡的列表，双击选择要抓包的网卡，就可以开始抓包：
或者在菜单栏点击捕获—》选项，也可以看到电脑网卡的列表，选中要抓包的网卡，点击开始按钮：
点击开始抓包，如果看到报文显示区在滚动，同时，在右下角也显示有抓取报文的计数，说明 Wireshark 在正常工作抓取报文了。
执行相应的网络访问操作后，我们点击 Wireshark 左上角的停止按钮，停止抓包。
如果我们想把报文保存成文件存在电脑上，方便以后查看，点击文件—>保存，输入文件名，点击保存就行。
使用Wireshark查看包
点击 Wireshark 的文件菜单，打开刚刚 tcpdump 抓包产生的 http.pcap 文件，我们就可以查看到报文的详细信息了。在查看报文之前，我们先看看 Wireshark 的整个界面：
Wireshark界面分为以下几个功能区：
-
主菜单栏： 提供用户操作 Wireshark 的功能菜单，包括启动停止抓包、保存抓包文件等等；
-
主工具栏： 提供菜单栏中用户经常使用的功能；
-
过滤器工具栏： 用户可以在此输入各种过滤条件，过滤选择自己想看的报文；
-
报文列表区： 根据过滤工具栏的过滤条件，展示报文列表，默认展示所有报文；
-
报文详细信息区： 按照网络层次，展示选中报文的报文头部和数据；
-
报文二进制字节区： 展示选中报文的二进制字节数；
-
状态栏： 显示用户选中信息的状态，以及报文会话数和报文数的统计；
数据包列表区展示了报文编号、时间戳、源 IP 地址、目的 IP 地址、协议、报文长度和报文信息：
报文详细信息区，可以很清晰的看到网络五层模型中各个层次的信息：
-
Frame: 物理层信息
-
Ethernet II: 数据链路层以太网头部信息
-
Internet Protocol Version 4: 网络层 IP 包头部信息
-
Transmission Control Protocol: 传输层 TCP 头部信息
-
Hypertext Transfer Protocol: 应用层 HTTP 协议
之前讲的 MAC 地址、IP 地址和端口，这些各个层次关键的通信标识是不是看起来就一目了然了呢？
使用Wireshark过滤包
现在有一个问题，报文列表区那么多报文，如果我们现在只想查看访问 cern 网站首页的报文，该怎么办呢?
这个时候就该使用 Wireshark 的报文过滤功能了。Wireshark 的报文过滤功能非常强大，支持按报文中的各个字段以及字段组合进行过滤。最常见的比如按照 MAC 地址过滤、按照 IP 地址过滤、按照端口过滤等等。
这里我们选择根据IP地址过滤，按住 win+R 键，输入 cmd 后选择确定，ping info.cern.ch，可以查看到它的IP地址是 188.184.100.82。
在过滤工具栏里输入 ip.addr == 188.184.100.82，选择过滤栏右侧箭头，应用过滤条件：
关于Wireshark常用的过滤条件，小智也总结了一下：
-
IP地址过滤： ip.addr、ip.src、ip.dst，例如：ip.addr == 192.168.1.2；
-
协议过滤： tcp、udp、dns、ftp、http;
-
端口过滤： tcp.port、tcp.srcport、tcp.dstport，例如：tcp.port == 80；
-
逻辑表达式： &&、||、！，例如：ip.src== 192.168.1.200 && tcp；
-
运算符：>、>=、<、<=，例如tcp.len == 20；
HTTP报文简单分析
访问 info.cern.ch 网站，应用层使用的是 HTTP 协议。现在我们通过抓取的报文，来简单看一下 HTTP是如何工作的。
1）由于 HTTP 下层使用传输层的 TCP 协议，所以前面三个报文是 TCP 的三次握手报文（编号81-83的报文，后面讲 TCP 协议的时候会讲到），还可以看到目的端口使用的是 80。
2）编号 84 的报文，看到的是浏览器发起了一个GET请求"GET / HTTP1.1"，请求的网站资源路径是"/"，也就是根路径，使用的 HTTP 版本是 1.1。
3）编号 96 的报文，网站服务器响应应了该请求 “HTTP/1.1 200 OK”，即把网站首页的内容返回给了浏览器客户端。
就这样，浏览器通过 GET 请求，获取到了 cern 网站服务器返回的内容。如果想详细查看 HTTP 请求和响应的字段，可以选中相应的报文后，在数据包详细信息区点开 HTTP 头部信息。
总结
好了，到这里，网络报文分析工具的使用，小智就讲完了。让我们一起再回顾一下吧：
首先，我们在 CentOS 上安装了 tcpdump，安装使用的是在线安装工具 yum。
接着，我们使用 tcpdump 抓取 curl 访问 cern 网站首页的 http 报文，保存成了 pcap 文件。
然后，我们在 Windows 上下载安装了 Wireshark 软件。
再接着，我们学习了 Wireshark 的使用，包括如何抓包、查看包和过滤包。
最后，我们简单分析了一下 HTTP 报文的交互过程，为后面深入学习 HTTP 协议做好准备。
絮叨
现在，小伙伴们，你们是不是感到既兴奋又困惑呢？兴奋的是原来网络还可以这样学，困惑的是还有这么多不明白的地方。不过不要紧，这一路上，小智我都会一直陪着你，给你指明方向，为你答疑解惑，和你一起探索奇妙的网络世界。