每次我跟精英说：糟了，Fiddler抓不到包，怎么办？
精英总是狠狠地吸了一口烟，再慢慢地吐出来：用Wireshark ！！！
我很迷茫：什么是Wireshark ？
精英的脸隐藏在烟雾之后，悠悠的说：神器一样存在的东西。
于是开始接触Wireshark的一些功能，深深的被它的强大所折服，不得不写一篇博客来纪念一下。
Wireshark（前称Ethereal）是一个网络封包分析软件。网络封包分析软件的功能是撷取网络封包，并尽可能显示出最为详细的网络封包资料。Wireshark使用WinPCAP作为接口，直接与网卡进行数据报文交换。
目前我们所用的到两个重要的功能是：
第一，过滤数据包，只显示自己感兴趣的数据包进行查看，这样就会非常有利于排除干扰，顺利推图。
目前我所知道的过滤的规则如下：
1.过滤IP，如来源IP或者目标IP等于某个IP
例子:
ip.src eq 192.168.1.107 or ip.dst eq 192.168.1.107
或者
ip.addr eq 192.168.1.107 // 都能显示来源IP和目标IP
2.过滤端口
例子:
tcp.port eq 80 // 不管端口是来源的还是目标的都显示
tcp.port == 80
tcp.port eq 2722
tcp.port eq 80 or udp.port eq 80
tcp.dstport == 80 // 只显tcp协议的目标端口80
tcp.srcport == 80 // 只显tcp协议的来源端口80
udp.port eq 15000
过滤端口范围
tcp.port >= 1 and tcp.port <= 80
5.包长度过滤
例子:
udp.length == 26 这个长度是指udp本身固定长度8加上udp下面那块数据包之和
tcp.len >= 7 指的是ip数据包(tcp下面那块数据),不包括tcp本身
ip.len == 94 除了以太网头固定长度14,其它都算是ip.len,即从ip本身到最后
frame.len == 119 整个数据包长度,从eth开始到最后
eth —> ip or arp —> tcp or udp —> data
7.TCP参数过滤
tcp.flags 显示包含TCP标志的封包。
tcp.flags.syn == 0x02 显示包含TCP SYN标志的封包。
tcp.window_size == 0 && tcp.flags.reset != 1
8.包内容过滤
-----------------------------------------------
tcp[20]表示从20开始，取1个字符
tcp[20:]表示从20开始，取1个字符以上
第二，插件，插件可以让我们在上面做二次开发，尤其是可以显示游戏中的包的名字，这对推图非常的有利
do
cmds = {}
--[[
Proto.new(name, desc)
name: displayed in the column of “Protocol” in the packet list
desc: displayed as the dissection tree root in the packet details
--]]
local Hero = Proto("Hero", "Hero Packet")
--[[
ProtoField:
to be used when adding items to the dissection tree
--]]
--[[
(1)BH Packet Header
--]]
local f_bh_packlen = ProtoField.uint32("BH.PacketLen", "Length", base.DEC)
-- rtp over http interleaved channel(1 byte)
local f_bh_cmd = ProtoField.string("BH.Cmd", "CMD", base.DEC)
local f_bh_cmd_string = ProtoField.string("BH.CmdString", "CMD String", base.DEC)
-- define the fields table of this dissector(as a protoField array)
Hero.fields = {f_bh_packlen, f_bh_cmd, f_bh_cmd_string}
--[[
Data Section
--]]
local data_dis = Dissector.get("data")
function string2hex (s)
local hex = ""
for i=1, #s, 1 do
hex = hex .. string.format("%x", s:byte(i))
end
return hex
end
--[[
bh Dissector Function
--]]
local function bh_dissector(buf, pkt, root)
-- check buffer length
local buf_len = buf:len()
--[[
packet list columns
--]]
pkt.cols.protocol = "Hero"
pkt.cols.info = "Hero Packet"
--[[
dissection tree in packet details
--]]
-- tree root
local t = root:add(Hero, buf(0,buf:len()))
--local header = t:add(f_bh_cmd, buf(0,buf:len()))
-- child items
-- bh Header
local packlen = buf(0,4):uint()
pkt.cols.info = cmds[buf(4,4):uint()]
--data:add("content:", string2hex(buf(38, buf:len()-38)))
return true
end
--[[
Dissect Process
--]]
function Hero.dissector(buf, pkt, root)
if bh_dissector(buf, pkt, root)
then
-- valid bh diagram
else
data_dis:call(buf, pkt, root)
end
end
--[[
Specify Protocol Port
--]]
local tcp_encap_table = DissectorTable.get("tcp.port")
tcp_encap_table:add(11324, Hero)
tcp_encap_table:add(11311, Hero)
end
1. 找到wireshark 安装目录
2. 打开 init.lua （D:\Program Files\Wireshark\init.lua），用 — 注释disable_lua或者改为disable_lua=false。这样 wireshark 就会支持 Lua 了
-- Set disable_lua to true to disable Lua support.
disable_lua = false
if disable_lua then
return
end
3. 在 init.lua 结尾，添加 dofile(”1.lua”) ，wireshark 在每次启动时会自动载入1.lua
