wireshark

wireshark的基本使用

抓包采用 wireshark，提取特征时，要对 session 进行过滤，找到关键的stream，这里总结了 wireshark 过滤的基本语法，供自己以后参考。

wireshark进行过滤的适合，分为协议过滤和内容过滤。
对标准协议，既支持粗粒度的过滤如HTTP：

tcp.port==53、http.request.method=="GET"

对内容过滤的例子：

http contains "Server"

指的是在http协议中包含Server的这个字段的数据包有哪些。
过滤地址：

ip.addr == 8.8.8.8
ip.src == 8.8.8.8
ip.dst == 8.8.8.8
ip.addr == 10.0.0.0/16

过滤端口：

tcp.port == 9090
tcp.dstport == 9090
tcp.srcport == 9090
tcp.port >=1 and tcp.port <= 80

过滤mac：

eth.dst == A0:00:00:04:C5:84 // 过滤目标mac
eth.src eq A0:00:00:04:C5:84 // 过滤来源mac
eth.dst==A0:00:00:04:C5:84
eth.dst==A0-00-00-04-C5-84
eth.addr eq A0:00:00:04:C5:84 // 过滤来源MAC和目标MAC都等于A0:00:00:04:C5:84的

根据长度过滤：

tcp.len >= 7     
ip.len == 88      
tcp.length == 26  
frame.len == 999 

http包中的过滤：

http.host == xxx.com
// 过滤 hosthttp.response == 1
// 过滤所有的 http 响应包http.response.code == 302
// 过滤状态码 202http.request.method==POST 
// 过滤 POST 请求包http.cookie contains xxx
// cookie 包含 xxxhttp.request.uri=="/robots.txt"
//过滤请求的uri，取值是域名后的部分http.request.full_uri=="http://1.com"
// 过滤含域名的整个urlhttp.server contains "nginx"
//过滤http头中server字段含有nginx字符的数据包http.content_type == "text/html"
//过滤content_type是text/htmlhttp.content_encoding == "gzip"
//过滤content_encoding是gzip的http包http.transfer_encoding == "chunked"
//根据transfer_encoding过滤http.content_length == 279http.content_length_header == "279"
//根据content_length的数值过滤http.request.version == "HTTP/1.1"
//过滤HTTP/1.1版本的http包，包括请求和响应

一个最简单的例子。
这里我们请求了一个百度的网址，用我们的wireshark进行抓包。
我们用它的这个过滤器进行过滤协议为http的。

这里过滤我们还可以进行更精细的过滤，比如过滤出你想要的源ip或者是目标ip或者端口，这些都是同理。可以参考我的上面的例子。

如果是过滤协议的话这里可以过滤很多协议。比如：tcp
udp
arp
icmp
http
smtp
ftp
dns
msnms
ip
ssl
oicq
bootp等等。

使用Wireshark时最常见的问题，是当您使用默认设置时，会得到大量冗余信息，以至于很难找到自己需要的部分。
这就是为什么过滤器会如此重要。它们可以帮助我们在庞杂的结果中迅速找到我们需要的信息。

wireshark过滤器的区别

过滤器的区别

捕捉过滤器（CaptureFilters）：用于决定将什么样的信息记录在捕捉结果中。需要在开始捕捉前设置。
显示过滤器（DisplayFilters）：在捕捉结果中进行详细查找。他们可以在得到捕捉结果后随意修改。

两种过滤器的目的是不同的。
捕捉过滤器是数据经过的第一层过滤器，它用于控制捕捉数据的数量，以避免产生过大的日志文件。
显示过滤器是一种更为强大（复杂）的过滤器。它允许您在日志文件中迅速准确地找到所需要的记录。

捕捉过滤器

语法：Protocol Direction Host(s) Value Logical Operations Other expression
其中Logical Operations是逻辑运算。

tcp dst port 3128

显示目的TCP端口为3128的封包。

ip src host 10.1.1.1

显示来源IP地址为10.1.1.1的封包。

host 10.1.2.3

显示目的或来源IP地址为10.1.2.3的封包。

src portrange 2000-2500

显示来源为UDP或TCP，并且端口号在2000至2500范围内的封包。

显示过滤器

语法：Protocol. String 1.String 2Comparison
这也是我们最常用的。
snmp || dns || icmp显示SNMP或DNS或ICMP封包。ip.addr == 10.1.1.1

显示来源或目的IP地址为10.1.1.1的封包。

ip.src != 10.1.2.3 or ip.dst != 10.4.5.6

显示来源不为10.1.2.3或者目的不为10.4.5.6的封包。

抓包案例

题目要求：

1.内网主机的mysql用户名和请求连接的密码hash是多少(用户:密码hash)。

2.php代理第一次被使用时最先连接了哪个IP地址。

这里要求我们查找mysql的用户名以及密码，
我们可以直接筛选含有mysql的字段。

tcp contains "mysql" && mysql

查找出来就是这个样子。

我们观察这些流量包，我们能够发现，这里都是一直在请求登录我们的数据库的数据包。
我们直接翻到最后这个请求数据库的包，那这个包大概率就是黑客进行爆破成功的包，会含有我们数据库的账号和密码。

用户：admin

密码Hash：4858e7dcb0968daa7b599be4b0edb88a25ad89ac

然后开始继续过滤http请求的数据包。

我们发现了一个php文件，这个大概率就是黑客上传的恶意代码。

在下面我们能够看到，这个黑客的请求，能够看到黑客使用连接的地址为4.2.2.2，端口为53端口。

答案

1.内网主机的mysql用户名和请求连接的密码hash是多少(用户:密码hash)
admin:1a3068c3e29e03e3bcfdba6f8669ad23349dc6c4
2.php代理第一次被使用时最先连接了哪个IP地址
4.2.2.2

密码为hash，我们可以用解密软件进行解密，就能够清楚看见数据库的密码 了。