技术兄弟们，大家好，在这篇文章中我们将介绍如何在 Ubuntu 22.04 中安装和使用 Wireshark。

Wireshark 是自由开源的、跨平台的、基于 GUI 的网络数据包分析器，可用于 Linux、Windows、MacOS、Solaris 等。它实时捕获网络数据包并以人类可读的格式呈现它们。它使我们能够监控微观层面的网络数据包。它还有一个名为 tshark 的命令行程序，它执行与 Wireshark 相同的功能，但通过终端而不是通过 GUI。

Wireshark 可用于网络故障排除、分析、软件和通信协议开发，也可用于教育目的。Wireshark 使用名为 pcap 的库来捕获网络数据包。

Wireshark 的功能

• 支持检查数百种协议
• 能够实时捕获数据包并保存它们以供以后离线分析
• 一些用于分析数据的过滤器
• 捕获的数据可以动态压缩和解压缩
• 支持多种数据分析文件格式，输出也可以保存为 XML、CSV、纯文本格式
• 可以从以太网、WiFi、蓝牙、USB、帧中继、令牌环等多种接口捕获数据

先决条件

• 预装 Ubuntu 22.04
• 具有 sudo 权限的本地用户
• 互联网连接

Wireshark 安装步骤

从 Ubuntu 仓库安装

Wireshark 包可在默认的 Ubuntu 仓库中找到，并且可以使用以下命令简单地安装。但你可能无法获得最新版本的 wireshark。

$ sudo apt update
$ sudo apt install wireshark

选择 “Yes” 允许非超级用户使用 Wireshark 捕获数据包：

安装成功后，访问 Wireshare UI。从“ 活动 Activities ”中搜索 “wireshark”，然后单击其图标。

以上确认你的 Wireshark 安装已成功完成。

安装最新的版本

如果要安装最新版本的 Wireshark，我们必须使用以下 apt 命令启用官方 Wireshark 仓库：

$ sudo add-apt-repository ppa:wireshark-dev/stable
$ sudo apt update

现在，安装最新版本的 Wireshark，运行：

$ sudo apt install wireshark -y

安装 Wireshark 后，验证其版本：

$ wireshark --version

要允许普通用户使用 Wireshark 使用和捕获数据包，请运行以下命令：

$ sudo dpkg-reconfigure wireshark-common

选择 “Yes” 并按回车键。

使用 usermod 命令将本地用户添加到 wireshark 组:

$ sudo usermod -aG wireshark $USER
$ newgrp wireshark

要使上述更改生效，请重新启动系统。

$ sudo reboot

使用 Wireshark 捕获数据包

启动 Wireshark，从“活动”->搜索 “wireshark”。

单击 Wireshark 图标，

所有这些都是我们可以捕获网络数据包的接口。根据你系统上的界面，此页面可能会有所不同。

我们选择 “enp0s3” 来捕获该接口的网络流量。选择接口后，我们网络上所有设备的网络数据包开始填充（请参阅下面的截图）：

第一次看到此页面时，我们可能会被此屏幕中显示的数据淹没，并且可能会想到如何整理这些数据，但不用担心，Wireshark 的最佳功能之一就是它的过滤器。

我们可以根据 IP 地址、端口号对数据进行排序/过滤，还可以使用源和目标过滤器、数据包大小等，还可以将 2 个或更多过滤器组合在一起以创建更全面的搜索。我们可以在“ 应用显示过滤器 Apply a Display Filter ”选项卡中编写过滤器，也可以选择已创建的规则之一。要选择预建过滤器，请单击“旗帜”图标，然后点击“应用显示过滤器”选项卡。

我们还可以根据颜色代码来过滤数据，默认情况下，浅紫色是 TCP 流量，浅蓝色是 UDP 流量，黑色标识有错误的数据包，要查看这些代码的含义，请单击“ 查看 View ”->“ 颜色规则 Coloring Rules ”，我们也可以更改这些代码。

获得所需的结果后，我们可以单击任何捕获的数据包以获取有关该数据包的更多详细信息，这将显示有关该网络数据包的所有数据。

要停止捕获数据包，请单击红色停止按钮，然后将捕获的数据包保存到文件中。

总结

Wireshark 是一款非常强大的工具，需要一些时间来适应和掌握它，这篇文章将帮助你开始使用。请随时在下面的评论栏中提出你的疑问或建议。

（题图：MJ/63c09e75-a3e7-4dbf-ac6f-0233bdd34ad8）

via: https://www.linuxtechi.com/install-use-wireshark-ubuntu/

作者：Pradeep Kumar 选题：lkxed 译者：geekpi 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

在本教程中，你将学习如何在 Ubuntu 和其它基于 Ubuntu 的发行版上安装最新的 Wireshark。同时你也将学习如何在没有 sudo 的情况下来运行 Wireshark，以及如何设置它来进行数据包嗅探。

Wireshark 是一款自由开源的网络协议分析器，它在全球被广泛使用。

通过使用 Wireshark，你可以实时捕获网络的传入和传出数据包，并将其用于网络故障排除、数据包分析、软件和通信协议开发等。

它适用于所有主流的桌面操作系统，如 Windows、Linux、macOS、BSD 等。

在本教程中，我将指导你在 Ubuntu 和其他基于 Ubuntu 的发行版上安装 Wireshark 。我还将介绍如何设置和配置 Wireshark 来捕获数据包。

在基于 Ubuntu 的 Linux 发行版上安装 Wireshark

Wireshark 适用于所有主流 Linux 发行版。你应该查看官方安装说明。因为在本教程中，我将着重在仅基于 Ubuntu 的发行版上安装最新版本的 Wireshark 。

Wireshark 可以在 Ubuntu 的 Universe 存储库中找到。你可以启用 universe 存储库，然后按如下方式安装：

sudo add-apt-repository universe
sudo apt install wireshark

这种方法的一个小问题是，你可能并不总是得到最新版本的 Wireshark 。

例如，在 Ubuntu 18.04 中，如果你使用 apt 命令检查 Wireshark 的可用版本，可用版本会显示是 2.6 。

abhishek@nuc:~$ apt show wireshark
Package: wireshark
Version: 2.6.10-1~ubuntu18.04.0
Priority: optional
Section: universe/net
Origin: Ubuntu
Maintainer: Balint Reczey <[email protected]>

然而， Wireshark 3.2 稳定版已经在几个月前发布了。当然，新版本拥有新的特性。

那么在这种情况下，你应该怎么办呢？谢天谢地， Wireshark 开发者提供了一种官方 PPA 方式，你可以使用它在 Ubuntu 和其它基于 Ubuntu 的发行版上安装最新稳定版本的 Wireshark.

我希望你熟悉 PPA。如果没有，请阅读我们关于 PPA 的优秀指南，以便完全理解它。

打开终端并逐个使用以下命令：

sudo add-apt-repository ppa:wireshark-dev/stable
sudo apt update
sudo apt install wireshark

即使安装了旧版本的 Wireshark ，它也将更新为新版本。

安装时，系统将询问你是否允许非超级用户捕获数据包。选择“Yes”允许，选择“No”限制非超级用户捕获数据包，最后完成安装。

不使用 sudo 运行 Wireshark

如果在上一次安装中选择了“No”，则以 root 用户身份运行以下命令：

sudo dpkg-reconfigure wireshark-common

然后按 tab 键并使用回车键选择“No”：

由于你允许非超级用户捕获数据包，因此你必须将该用户添加到 wireshark 组。使用 usermod 命令将自己添加到 wireshark 组。

sudo usermod -aG wireshark $(whoami)

最后，重启你的 Ubuntu 系统对你的系统进行必要的修改。

冷知识

Wireshark 于 1998 年首次发布，最初被称为 Ethereal 。2006 年，由于商标问题，开发商不得不将其名称改为 Wireshark 。

启动 Wireshark

你可以从应用程序启动器或者命令行启动 Wireshark 应用。

如果从命令行启动，只需要在你的控制台中输入 wireshark：

wireshark

要是从图形化界面启动，需要在搜索栏搜索 Wireshark 应用，并按回车键。

现在，让我们来玩玩 Wireshark 吧。

使用 Wireshark 捕获数据包

当你启动 Wireshark 的时候，你会看到一个接口列表，你可以使用它来捕获这个接口接收和发送的数据包。

你可以使用 Wireshark 监视许多类型的接口，例如，有线、外部设备等。根据你的偏好，你可以从下图中的标记区域选择在欢迎屏幕中显示特定类型的接口。

例如，我只列出了有线网络接口。

接下来，要开始捕获数据包，你必须选择接口（在我的示例中是 ens33 ），然后单击“Start capturing packets”图标，如下图所示。

你还可以同时从多个接口捕获数据包。只需按住 CTRL 按钮，同时单击要捕获的接口，然后点击“Start capturing packets”图标，如下图所示。

接下来，我尝试在终端中使用 ping google.com 命令，如你所见，捕获了许多数据包。

现在你可以选择任何数据包来检查该特定数据包。在点击一个特定的包之后，你可以看到与它相关的 TCP/IP 协议的不同层的信息。

你还可以在底部看到该特定数据包的原始数据，如下图所示。

这就是为什么端到端加密很重要。

假设你正在登录一个不使用 HTTPS 的网站。与你在同一网络上的任何人都可以嗅探数据包，并在原始数据中看到用户名和密码。

这就是为什么现在大多数聊天应用程序使用端到端加密，而大多数网站使用 https （而不是 http）。

在 Wireshark 中停止数据包捕获

你可以点击如图所示的红色图标停止捕获数据包。

将捕获的数据包保存成文件

你可以单击下图中标记的图标，将捕获的数据包保存到文件中以备将来使用。

注意：输出可以导出为 XML、PostScript、CSV 或纯文本。

接下来，选择一个目标文件夹，键入文件名并单击“Save”。

然后选择文件并单击“Open”。

现在你可以随时打开和分析保存的数据包。要打开文件，请按 \+o，或从 Wireshark 转到 “File > Open”。

捕获的数据包将从文件中加载。

结语

Wireshark 支持许多不同的通信协议。有许多选项和功能，使你能够以独特的方式捕获和分析网络数据包。你可以从 Wireshark 的官方文档了解更多关于 Wireshark 的信息。

我希望这个教程能帮助你在 Ubuntu 上安装 Wireshark 。请让我知道你的问题和建议。

via: https://itsfoss.com/install-wireshark-ubuntu/

作者：Community 选题：lujun9972 译者：qianmigntian 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

Wireshark 是自由开源的、跨平台的基于 GUI 的网络数据包分析器，可用于 Linux、Windows、MacOS、Solaris 等。它可以实时捕获网络数据包，并以人性化的格式呈现。Wireshark 允许我们监控网络数据包直到其微观层面。Wireshark 还有一个名为 tshark 的命令行实用程序，它与 Wireshark 执行相同的功能，但它是通过终端而不是 GUI。

Wireshark 可用于网络故障排除、分析、软件和通信协议开发以及用于教育目的。Wireshark 使用 pcap 库来捕获网络数据包。

Wireshark 具有许多功能：

• 支持数百项协议检查
• 能够实时捕获数据包并保存，以便以后进行离线分析
• 许多用于分析数据的过滤器
• 捕获的数据可以即时压缩和解压缩
• 支持各种文件格式的数据分析，输出也可以保存为 XML、CSV 和纯文本格式
• 数据可以从以太网、wifi、蓝牙、USB、帧中继、令牌环等多个接口中捕获

在本文中，我们将讨论如何在 Ubuntu/Debian 上安装 Wireshark，并将学习如何使用 Wireshark 捕获网络数据包。

在 Ubuntu 16.04 / 17.10 上安装 Wireshark

Wireshark 在 Ubuntu 默认仓库中可用，只需使用以下命令即可安装。但有可能得不到最新版本的 wireshark。

linuxtechi@nixworld:~$ sudo apt-get update
linuxtechi@nixworld:~$ sudo apt-get install wireshark -y

因此，要安装最新版本的 wireshark，我们必须启用或配置官方 wireshark 仓库。

使用下面的命令来配置仓库并安装最新版本的 wireshark 实用程序。

linuxtechi@nixworld:~$ sudo add-apt-repository ppa:wireshark-dev/stable
linuxtechi@nixworld:~$ sudo apt-get update
linuxtechi@nixworld:~$ sudo apt-get install wireshark -y

一旦安装了 wireshark，执行以下命令，以便非 root 用户也可以捕获接口的实时数据包。

linuxtechi@nixworld:~$ sudo setcap 'CAP_NET_RAW+eip CAP_NET_ADMIN+eip' /usr/bin/dumpcap

在 Debian 9 上安装 Wireshark

Wireshark 包及其依赖项已存在于 debian 9 的默认仓库中，因此要在 Debian 9 上安装最新且稳定版本的 Wireshark，请使用以下命令：

linuxtechi@nixhome:~$ sudo apt-get update
linuxtechi@nixhome:~$ sudo apt-get install wireshark -y

在安装过程中，它会提示我们为非超级用户配置 dumpcap，

选择 yes 并回车。

安装完成后，执行以下命令，以便非 root 用户也可以捕获接口的实时数据包。

linuxtechi@nixhome:~$ sudo chmod +x /usr/bin/dumpcap

我们还可以使用最新的源代码包在 Ubuntu/Debian 和其它 Linux 发行版上安装 wireshark。

在 Debian / Ubuntu 系统上使用源代码安装 Wireshark

首先下载最新的源代码包（写这篇文章时它的最新版本是 2.4.2），使用以下命令：

linuxtechi@nixhome:~$ wget https://1.as.dl.wireshark.org/src/wireshark-2.4.2.tar.xz

然后解压缩包，进入解压缩的目录：

linuxtechi@nixhome:~$ tar -xf wireshark-2.4.2.tar.xz -C /tmp
linuxtechi@nixhome:~$ cd /tmp/wireshark-2.4.2

现在我们使用以下命令编译代码：

linuxtechi@nixhome:/tmp/wireshark-2.4.2$ ./configure --enable-setcap-install
linuxtechi@nixhome:/tmp/wireshark-2.4.2$ make

最后安装已编译的软件包以便在系统上安装 Wireshark：

linuxtechi@nixhome:/tmp/wireshark-2.4.2$ sudo make install
linuxtechi@nixhome:/tmp/wireshark-2.4.2$ sudo ldconfig

在安装后，它将创建一个单独的 Wireshark 组，我们现在将我们的用户添加到组中，以便它可以与 Wireshark 一起使用，否则在启动 wireshark 时可能会出现 “permission denied（权限被拒绝）”错误。

要将用户添加到 wireshark 组，执行以下命令：

linuxtechi@nixhome:~$ sudo usermod -a -G wireshark linuxtechi

现在我们可以使用以下命令从 GUI 菜单或终端启动 wireshark：

linuxtechi@nixhome:~$ wireshark

在 Debian 9 系统上使用 Wireshark

点击 Wireshark 图标。

在 Ubuntu 16.04 / 17.10 上使用 Wireshark

点击 Wireshark 图标。

捕获并分析数据包

一旦 wireshark 启动，我们就会看到 wireshark 窗口，上面有 Ubuntu 和 Debian 系统的示例。

所有这些都是我们可以捕获网络数据包的接口。根据你系统上的接口，此屏幕可能与你的不同。

我们选择 enp0s3 来捕获该接口的网络流量。选择接口后，在我们网络上所有设备的网络数据包开始填充（参考下面的屏幕截图）：

第一次看到这个屏幕，我们可能会被这个屏幕上显示的数据所淹没，并且可能已经想过如何整理这些数据，但不用担心，Wireshark 的最佳功能之一就是它的过滤器。

我们可以根据 IP 地址、端口号，也可以使用来源和目标过滤器、数据包大小等对数据进行排序和过滤，也可以将两个或多个过滤器组合在一起以创建更全面的搜索。我们也可以在 “Apply a Display Filter（应用显示过滤器）”选项卡中编写过滤规则，也可以选择已创建的规则。要选择之前构建的过滤器，请单击 “Apply a Display Filter（应用显示过滤器）”选项卡旁边的旗帜图标。

我们还可以根据颜色编码过滤数据，默认情况下，浅紫色是 TCP 流量，浅蓝色是 UDP 流量，黑色标识有错误的数据包，看看这些编码是什么意思，点击 “View -> Coloring Rules”，我们也可以改变这些编码。

在我们得到我们需要的结果之后，我们可以点击任何捕获的数据包以获得有关该数据包的更多详细信息，这将显示该网络数据包的所有数据。

Wireshark 是一个非常强大的工具，需要一些时间来习惯并对其进行命令操作，本教程将帮助你入门。请随时在下面的评论框中提出你的疑问或建议。

via: https://www.linuxtechi.com/install-use-wireshark-debian-9-ubuntu/

作者：Pradeep Kumar 译者：MjSeven 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

介绍

数据包过滤可让你专注于你感兴趣的确定数据集。如你所见，Wireshark 默认会抓取所有数据包。这可能会妨碍你寻找具体的数据。 Wireshark 提供了两个功能强大的过滤工​​具，让你简单而无痛地获得精确的数据。

Wireshark 可以通过两种方式过滤数据包。它可以通过只收集某些数据包来过滤，或者在抓取数据包后进行过滤。当然，这些可以彼此结合使用，并且它们各自的用处取决于收集的数据和信息的多少。

布尔表达式和比较运算符

Wireshark 有很多很棒的内置过滤器。当开始输入任何一个过滤器字段时，你将看到它们会自动补完。这些过滤器大多数对应于用户对数据包的常见分组方式，比如仅过滤 HTTP 请求就是一个很好的例子。

对于其他的，Wireshark 使用布尔表达式和/或比较运算符。如果你曾经做过任何编程，你应该熟悉布尔表达式。他们是使用 and、or、not 来验证声明或表达式的真假。比较运算符要简单得多，它们只是确定两件或更多件事情是否彼此相等、大于或小于。

过滤抓包

在深入自定义抓包过滤器之前，请先查看 Wireshark 已经内置的内容。单击顶部菜单上的 “Capture” 选项卡，然后点击 “Options”。可用接口下面是可以编写抓包过滤器的行。直接移到左边一个标有 “Capture Filter” 的按钮上。点击它，你将看到一个新的对话框，其中包含内置的抓包过滤器列表。看看里面有些什么。

在对话框的底部，有一个用于创建并保存抓包过滤器的表单。按左边的 “New” 按钮。它将创建一个填充有默认数据的新的抓包过滤器。要保存新的过滤器，只需将实际需要的名称和表达式替换原来的默认值，然后单击“Ok”。过滤器将被保存并应用。使用此工具，你可以编写并保存多个不同的过滤器，以便它们将来可以再次使用。

抓包有自己的过滤语法。对于比较，它不使用等于号，并使用 > 和 < 来用于大于或小于。对于布尔值来说，它使用 and、or 和 not。

例如，如果你只想监听 80 端口的流量，你可以使用这样的表达式：port 80。如果你只想从特定的 IP 监听端口 80，你可以使用 port 80 and host 192.168.1.20。如你所见，抓包过滤器有特定的关键字。这些关键字用于告诉 Wireshark 如何监控数据包以及哪一个数据是要找的。例如，host 用于查看来自 IP 的所有流量。src 用于查看源自该 IP 的流量。与之相反，dst 只监听目标到这个 IP 的流量。要查看一组 IP 或网络上的流量，请使用 net。

过滤结果

界面的底部菜单栏是专门用于过滤结果的菜单栏。此过滤器不会更改 Wireshark 收集的数据，它只允许你更轻松地对其进行排序。有一个文本字段用于输入新的过滤器表达式，并带有一个下拉箭头以查看以前输入的过滤器。旁边是一个标为 “Expression” 的按钮，另外还有一些用于清除和保存当前表达式的按钮。

点击 “Expression” 按钮。你将看到一个小窗口，其中包含多个选项。左边一栏有大量的条目，每个都有附加的折叠子列表。你可以用这些来过滤所有不同的协议、字段和信息。你不可能看完所有，所以最好是大概看下。你应该注意到了一些熟悉的选项，如 HTTP、SSL 和 TCP。

子列表包含可以过滤的不同部分和请求方法。你可以看到通过 GET 和 POST 请求过滤 HTTP 请求。

你还可以在中间看到运算符列表。通过从每列中选择条目，你可以使用此窗口创建过滤器，而不用记住 Wireshark 可以过滤的每个条目。对于过滤结果，比较运算符使用一组特定的符号。 == 用于确定是否相等。> 用于确定一件东西是否大于另一个东西，< 找出是否小一些。 >= 和 <= 分别用于大于等于和小于等于。它们可用于确定数据包是否包含正确的值或按大小过滤。使用 == 仅过滤 HTTP GET 请求的示例如下：http.request.method == "GET"。

布尔运算符基于多个条件将小的表达式串到一起。不像是抓包所使用的单词，它使用三个基本的符号来做到这一点。&& 代表 “与”。当使用时，&& 两边的两个语句都必须为真值才行，以便 Wireshark 来过滤这些包。|| 表示 “或”。只要两个表达式任何一个为真值，它就会被过滤。如果你正在查找所有的 GET 和 POST 请求，你可以这样使用 ||：(http.request.method == "GET") || (http.request.method == "POST")。! 是 “非” 运算符。它会寻找除了指定的东西之外的所有东西。例如，!http 将展示除了 HTTP 请求之外的所有东西。

总结思考

过滤 Wireshark 可以让你有效监控网络流量。熟悉可以使用的选项并习惯你可以创建过滤器的强大表达式需要一些时间。然而一旦你学会了，你将能够快速收集和查找你要的网络数据，而无需梳理长长的数据包或进行大量的工作。

via: https://linuxconfig.org/filtering-packets-in-wireshark-on-kali-linux

作者：Nick Congleton 译者：geekpi 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

Wireshark 是 Kali 中预置的众多有价值工具中的一种。与其它工具一样，它可以被用于正面用途，同样也可以被用于不良目的。当然，本文将会介绍如何追踪你自己的网络流量来发现潜在的非正常活动。

Wireshark 相当的强大，当你第一次见到它的时候可能会被它吓到，但是它的目的始终就只有一个，那就是追踪网络流量，并且它所实现的所有选项都只为了加强它追踪流量的能力。

安装

Kali 中预置了 Wireshark 。不过，wireshark-gtk 包提供了一个更好的界面使你在使用 Wireshark 的时候会有更友好的体验。因此，在使用 Wireshark 前的第一步是安装 wireshark-gtk 这个包。

# apt install wireshark-gtk

如果你的 Kali 是从 live 介质上运行的也不需要担心，依然有效。

基础配置

在你使用 Wireshark 之前，将它设置成你使用起来最舒适的状态可能是最好的。Wireshark 提供了许多不同的布局方案和选项来配置程序的行为。尽管数量很多，但是使用起来是相当直接明确的。

从启动 Wireshark-gtk 开始。需要确定启动的是 GTK 版本的。在 Kali 中它们是被分别列出的。

布局

默认情况下，Wireshark 的信息展示分为三块内容，每一块都叠在另一块上方。（LCTT 译注：这里的三部分指的是展示抓包信息的时候的那三块内容，本段配图没有展示，配图 4、5、6 的设置不是默认设置，与这里的描述不符）最上方的一块是所抓包的列表。中间的一块是包的详细信息。最下面那块中包含的是包的原始字节信息。通常来说，上面的两块中的信息比最下面的那块有用的多，但是对于资深用户来说这块内容仍然是重要信息。

每一块都是可以缩放的，可并不是每一个人都必须使用这样叠起来的布局方式。你可以在 Wireshark 的“ 选项 （ Preferences ） ”菜单中进行更改。点击“ 编辑 （ Edit ） ”菜单，最下方就是的“ 选项 （ Preferences ） ”菜单。这个选项会打开一个有更多选项的新窗口。单击侧边菜单中“ 用户界面 （ User Interface ） ”下的“ 布局 （ Layout ） ”选项。

你将会看到一些不同的布局方案。上方的图示可以让你选择不同的面板位置布局方案，下面的单选框可以让你选择不同面板中的数据内容。

下面那个标记为“ 列 （ Columns ） ”的标签可以让你选择展示所抓取包的哪些信息。选择那些你需要的数据信息，或者全部展示。

工具条

对于 Wireshark 的工具条能做的设置不是太多，但是如果你想设置的话，你依然在前文中提到的“布局”菜单中的窗口管理工具下方找到一些有用的设置选项。那些能让你配置工具条和工具条中条目的选项就在窗口选项下方。

你还可以在“ 视图 （ View ） ”菜单下勾选来配置工具条的显示内容。

功能

主要的用来控制 Wireshark 抓包的控制选项基本都集中在“ 捕捉 （ Capture ） ”菜单下的“ 选项 （ Options ） ”选项中。

在开启的窗口中最上方的“ 捕捉 （ Capture ） ”部分可以让你选择 Wireshark 要监控的某个具体的网络接口。这部分可能会由于你系统的配置不同而会有相当大的不同。要记得勾选正确的选择框才能获得正确的数据。虚拟机和伴随它们一起的网络接口也同样会在这个列表里显示。同样也会有多种不同的选项对应这多种不同的网络接口。

在网络接口列表的下方是两个选项。其中一个选项是全选所有的接口。另一个选项用来选择是否开启混杂模式。这个选项可以使你的计算机监控到所选网络上的所有的计算机。（LCTT 译注：混杂模式可以在 HUB 中或监听模式的交换机接口上捕获那些由于 MAC 地址非本机而会被自动丢弃的数据包）如果你想监控你所在的整个网络，这个选项是你所需要的。

注意: 在一个不属于你或者不拥有权限的网络上使用混杂模式来监控是非法的！

在窗口下方的右侧是“ 显示选项 （ Display Options ） ”和“ 名称解析 （ Name Resolution ） ”选项块。对于“ 显示选项 （ Display Options ） ”来说，三个选项全选可能就是一个很好的选择了。当然你也可以取消选择，但是最好还是保留选择“实时更新抓包列表”。

在“ 名称解析 （ Name Resolution ） ”中你也可以设置你的偏好。这里的选项会产生附加的请求因此选得越多就会有越多的请求产生使你的抓取的包列表显得杂乱。把 MAC 解析选项选上是个好主意，那样就可以知道所使用的网络硬件的品牌了。这可以帮助你来确定你是在与哪台设备上的哪个接口进行交互。

抓包

抓包是 Wireshark 的核心功能。监控和记录特定网络上的流量就是它最初产生的目的。使用它最基本的方式来作这个抓包的工作是相当简单方便的。当然，越多的配置和选项就越可以充分利用 Wireshark 的力量。这里的介绍的关注点依然还是它最基本的记录方式。

按下那个看起来像蓝色鲨鱼鳍的新建实时抓包按钮就可以开始抓包了。（LCTT 译注：在我的 Debian 上它是绿色的）

在抓包的过程中，Wireshark 会收集所有它能收集到的包的数据并且记录下来。如果没有更改过相关设置的话，在抓包的过程中你会看见不断的有新的包进入到“包列表”面板中。你可以实时的查看你认为有趣的包，或者就让 Wireshark 运行着，同时你可以做一些其它的事情。

当你完成了，按下红色的正方形“停止”按钮就可以了。现在，你可以选择是否要保存这些所抓取的数据了。要保存的话，你可以使用“文件”菜单下的“保存”或者是“另存为”选项。

读取数据

Wireshark 的目标是向你提供你所需要的所有数据。这样做时，它会在它监控的网络上收集大量的与网络包相关的数据。它使用可折叠的标签来展示这些数据，使得这些数据看起来没有那么吓人。每一个标签都对应于网络包中一部分的请求数据。

这些标签是按照从最底层到最高层一层层堆起来的。顶部标签总是包含数据包中包含的字节数据。最下方的标签可能会是多种多样的。在下图的例子中是一个 HTTP 请求，它会包含 HTTP 的信息。您遇到的大多数数据包将是 TCP 数据，它将展示在底层的标签中。

每一个标签页都包含了抓取包中对应部分的相关数据。一个 HTTP 包可能会包含与请求类型相关的信息，如所使用的网络浏览器，服务器的 IP 地址，语言，编码方式等的数据。一个 TCP 包会包含服务器与客户端使用的端口信息和 TCP 三次握手过程中的标志位信息。

在上方的其它标签中包含了一些大多数用户都感兴趣的少量信息。其中一个标签中包含了数据包是否是通过 IPv4 或者 IPv6 传输的，以及客户端和服务器端的 IP 地址。另一个标签中包含了客户端和接入因特网的路由器或网关的设备的 MAC 地址信息。

结语

即使只使用这些基础选项与配置，你依然可以发现 Wireshark 会是一个多么强大的工具。监控你的网络流量可以帮助你识别、终止网络攻击或者提升连接速度。它也可以帮你找到问题应用。下一篇 Wireshark 指南我们将会一起探索 Wireshark 的包过滤选项。

via: https://linuxconfig.org/basic-of-network-protocol-analyzer-wireshark-on-linux

作者：Nick Congleton 译者：wcnnbdk1 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出

今日关注

基于 Arch Linux 的 Parabola GNU/Linux-libre 2016.07.27 ISO 镜像发布。这一最新版本中涵盖了所有最近的安全更新以及最新版本的软件。有 Main ，MATE 和 TalkingParabola这三个版本，可以支持32位和64位机。在该发布版本中，将LightDM作为默认的显示管理器，实现了对Home目录更好的读写控制权限。一部分wheel组用户默认拥有sudo权限可以执行任何命令。

图文摘要

Wireshark 2.0.5 发布。作为全球最流行的网络协议分析工具，安全专家们可以使用Wireshark来分析并解决网络问题。最新版本修复了20多个问题，更新了对内置的802.11 Radiotap, BGP, CAN, CANopen, H.248 Q.1950, IPv4, IPv6等协议的支持。

Enlightenment 0.20 系列的最后一个版本 0.20.10 发布。不过希望用户能更新到最新、最稳定的Enlightenment 0.21.0 版本。

System76 PC 机用户需要立即更行到 Ubuntu 16.04.1 LTS 了。在7.28号，Canonical也宣布不再对 Ubuntu 15.10 进行安全和软件更新。因此，如果你在System76的机器上安装的是Ubuntu 15.10，那就需要尽快更新到Ubuntu 16.04.1 LTS了。