上面基本是以局域網(wǎng)為例的。下面看看Wireshark對(duì)于互聯(lián)網(wǎng)數(shù)據(jù)的分析。Wireshark和其它的圖形化嗅探器使用基本類似的界面，整個(gè)窗口被分成三個(gè)部分：最上面為數(shù)據(jù)包列表，用來顯示截獲的每個(gè)數(shù)據(jù)包的總結(jié)性信息；中間為協(xié)議樹，用來顯示選定的數(shù)據(jù)包所屬的協(xié)議信息；最下邊是以十六進(jìn)制形式表示的數(shù)據(jù)包內(nèi)容，用來顯示數(shù)據(jù)包在物理層上傳輸時(shí)的最終形式。使用Wireshark可以很方便地對(duì)截獲的數(shù)據(jù)包進(jìn)行分析，包括該數(shù)據(jù)包的源地址、目的地址、所屬協(xié)議等。圖7是在Wireshark中對(duì)一個(gè)HTTP數(shù)據(jù)包進(jìn)行分析時(shí)的情形。在圖最上邊的數(shù)據(jù)包列表中，顯示了被截獲的數(shù)據(jù)包的基本信息。

498)this.style.width=498;">

圖 7 用Wireshark分析互聯(lián)網(wǎng)數(shù)據(jù)包內(nèi)容

圖7中間是協(xié)議樹，通過協(xié)議樹可以得到被截獲的數(shù)據(jù)包的更多信息，如主機(jī)的MAC地址(Ethernet II)、IP地址(Internet Protocol)、TCP端口號(hào)(Transmission Control Protocol)，以及HTTP協(xié)議的具體內(nèi)容(Hypertext Trnasfer Protocol)。通過擴(kuò)展協(xié)議樹中的相應(yīng)節(jié)點(diǎn)，可以得到該數(shù)據(jù)包中攜帶的更詳盡的信息。

498)this.style.width=498;">

圖 8 使用Follow TCP stearm 查看詳細(xì)信息

圖8最下邊是以十六制顯示的數(shù)據(jù)包的具體內(nèi)容，這是被截獲的數(shù)據(jù)包在物理媒體上傳輸時(shí)的最終形式，當(dāng)在協(xié)議樹中選中某行時(shí)，與其對(duì)應(yīng)的十六進(jìn)制代碼同樣會(huì)被選中，這樣就可以很方便地對(duì)各種協(xié)議的數(shù)據(jù)包進(jìn)行分析。圖6 是一個(gè)詳細(xì)封包分析。是點(diǎn)擊該封包選擇“Mark Pactet”。從圖中可以看出，當(dāng)前選中數(shù)據(jù)包的源地址是221.217.132.33，目的地址為202.106.124.50，該數(shù)據(jù)包所屬的協(xié)議是超文本傳輸協(xié)議(HTTP)。要獲取更加詳細(xì)信息可以是點(diǎn)擊該封包選擇“Follow TCP stearm ”。

更詳細(xì)的信息表明該數(shù)據(jù)包中含有一個(gè)HTTP的GET命令，訪問的網(wǎng)站是：www.51cto.com 。客戶端使用的MSIE7.0瀏覽器，操作系統(tǒng)為Vista。

總結(jié)

Wireshark提供的圖形化用戶界面非常友好，管理員可以很方便地查看到每個(gè)數(shù)據(jù)包的詳細(xì)信息，協(xié)議樹及其對(duì)應(yīng)的十六進(jìn)制表示對(duì)分析每個(gè)數(shù)據(jù)包的目的很有幫助，使用Wireshark能夠基本滿足網(wǎng)絡(luò)管理員在Vista系統(tǒng)上的所有安全要示。