0.關於 Wireshark

（1）about

Wireshark is the world’s foremost and widely-used network protocol analyzer.
It lets you see what’s happening on your network at a microscopic level.

Wireshark（前稱Ethereal）是當今世界最流行的網路協議嗅探、抓包和分析工具，它使我們得以窺探網路上流動的資料及其協議細節。
網路管理員使用 Wireshark 來檢測網路問題；網路安全工程師使用 Wireshark 來檢查網路安全相關問題；開發者可以使用 Wireshark 來開發除錯新的通訊協議；普通使用者可以使用 Wireshark 來學習網路協議棧相關的知識。

（2）tcpdump
在一些 UN*X 發行版中，tcpdump 通常作為標準的軟體包被預設安裝，可以執行 “tcpdump” 命令來確定是否已安裝了 tcpdump。

[email protected]:~|⇒  tcpdump --help
tcpdump version tcpdump version 4.9.0 -- Apple version 79.60.1
libpcap version 1.8.1 -- Apple version 67.60.1
LibreSSL 2.2.7
Usage: tcpdump [-aAbdDefhHIJKlLnNOpqStuUvxX#] [ -B size ] [ -c count ]
		[ -C file_size ] [ -E algo:secret ] [ -F file ] [ -G seconds ]
		[ -i interface ] [ -j tstamptype ] [ -M secret ] [ --number ]
		[ -Q in|out|inout ]
		[ -r file ] [ -s snaplen ] [ --time-stamp-precision precision ]
		[ --immediate-mode ] [ -T type ] [ --version ] [ -V file ]
		[ -w file ] [ -W filecount ] [ -y datalinktype ] [ -z postrotate-command ]
		[ -Z user ] [ expression ]
 

tcpdump 是命令列介面的（CUI），wireshark 是圖形使用者介面的（GUI），Wireshark 相對 tcpdump 而言，介面更友好、功能更強大。

（3）lipcap
Wireshark/TShark uses libpcap to capture live network data.
WinPcap is the Windows version of the libpcap library; it includes a driver to support capturing packets. Wireshark uses this library to capture live network data on Windows.

UN*X 平臺下的 Wireshark 是基於libpcap 實現的，Windows 平臺下的 Wireshark 則是基於 winpcap 實現的。

libpcap（Packet Capture Libray）即資料包捕獲函式庫，源於 tcpdump 專案。最開始是由 tcpdump 中剝離出的抓包、過濾、capture file 的讀寫程式碼提煉而成，現在也是由 tcpdump 專案的開發組織（tcpdump.org）維護。

捕獲抓包機制是在資料鏈路層增加一個旁路處理（並不干擾系統自身的網路協議棧的處理），對傳送和接收的資料包通過 UN*X 核心做過濾和緩衝處理，最後直接傳遞給上層應用程式。一個包的捕捉分為三個主要部分，包括面向底層包捕獲、面向中間層的資料包過濾和麵嚮應用層的使用者介面。

libpcap 作為捕捉網路資料包的庫，它是一個獨立於系統的使用者級 API 介面，為底層網路檢測提供了一個可移植的框架。

鑑於 wireshark 和 tcpdump 都共同使用 libpcap 作為其底層抓包的庫，可以用 Wireshark 開啟 tcpdump 抓包儲存的 pcap 檔案進行分析。

（4）wireshark for macOS

Wireshark 1.x 針對 UNIX Like 系統的 GUI 發行版介面採用的是 X Window（1987年更改X版本到X11）。Mac OS X 在 Mountain Lion 之後放棄 X11，取而代之的是開源的 XQuartz（X11.app）。因此，在 Mac OS X 上安裝 Wireshark 1.x 之前，需要先下載安裝 Quartz。

最新版的摒棄了陳舊的 GTK+X11 介面，無需先下載安裝 Quartz，取而代之的是與 Windows 發行版保持一致的 Qt 介面，簡潔清爽。

因此，若安裝最新 2.x 版本，可略過 XQuartz 安裝和 BPF 許可權問題等相關章節，直接跳至文末閱讀最後一章，相關章節可按需選（通）讀。

XQuartz（XQuartz-2.7.6.dmg）安裝完成後，按照提示需要 登出 重新 登入，以使 XQuartz 作為預設的 X11 Server。

安裝成功後，在終端輸入“xterm --help”可檢視命令列幫助，輸入“xterm -version”可檢視 xterm 版本資訊。在終端輸入“xterm”或通過選單“Applications->Terminal”可啟動X Window（XQuartz）的終端（xterm）。

安裝 OS X 10.6 and later Intel 64-bit 版本（Wireshark 1.12.0 Intel 64.dmg）。

安裝成功後，在終端輸入“wireshark --help”可檢視命令列幫助，輸入“wireshark --v”可檢視 wireshark 版本資訊。

3.啟動 Wireshark

首次啟動 Wireshark，提示通過前端 X11 視窗可以操控 Wireshark；由於需要編譯字型包，可能需要耗費幾分鐘。

如果事先沒有安裝 X11（XQuartz），則會提示引導安裝 X11。

如果事先已經安裝好 XQuartz（X11），則會引導選擇 X11.app 所在路徑。——最新版本的 Wireshark 1.12.4 Intel 64.dmg 貌似會自動識別已安裝的 X11 路徑而無需手動指定。

點選 Browse 到“/Applications/Utilities/XQuartz.app”，將 XQuartz 作為 Wireshark 的 X11 前端。——最新版本的 Wireshark 1.12.4 Intel 64.dmg 貌似會自動識別已安裝的 X11 路徑而無需手動指定。

如果不出意外的話，Wireshark 將成功啟動。

Mac OS X 升級 Yosemite 後，無法啟動 Wireshark，是因為 Yosemite 將 X11 外鏈資料夾從原來的 /usr 移動到了 /opt 下。可通過以下三種方式解決：

-解決方法1：重灌或升級 XQuartz

-解決方法2：將 /opt/X11 拷貝一份到 /usr/X11：sudo mv /opt/X11 /usr/X11

-解決方法3：將 /opt/X11 軟鏈一份到 /usr/X11：sudo ln -s /opt/X11 /usr/X11

4.選擇網絡卡，開始抓包

點選啟動首頁中的“Interface List”（相當於選單“Capture->Interfaces”），可以檢視本機活躍網絡卡（通過系統選單Apple->About This Mac->More Info->Overview->System Report或終端命令 也可檢視）。

由於本人 iMac 使用無線接入，故 en1（Wireless NIC）和 lo0（本機環路）活躍（active），有線網絡卡 en0（Wired NIC）未使用（inactive）。注意：MBP 上沒有有線網絡卡，en0 即為無線網絡卡 ，可通過 ifconfig 命令自行識別。

這裡可以直接勾選 en1，點選 Start 按鈕使用預設 Capture Options（預設勾選了混雜模式[promiscuous mode]）進行抓包；可以在啟動首頁點選“Wi-Fi：en1”開啟“Edit Interface Settings”，設定（例如可配置 Capture Filters 只捕捉指定型別或條件的資料包）或使用預設 Capture Options 開始抓包；也可以從選單“Capture->Options”著手，選擇網絡卡設定選項開始抓包。

Ascapture filter strings are directly passed from Wireshark/TShark tolibpcap, the available capture filter syntax depends on the libpcap version installed.

這裡選擇了無線網絡卡（Wi-Fi: en1），怎麼抓到的是乙太網包（Ethernet Packet）呢？實際上它是某些 BSD 提供的偽乙太網頭（）。如果要抓取 IEEE802.11 無線包（Beacon Frame 等），則需要開啟監聽模式[monitor mode]，並且將 Link-layer header type 選為 802.11 系列選項。

另外，在 Display Filters 中填寫了“http”，將從捕捉到的資料包中過濾出並只顯示 HTTP 協議包。

（1）Management Frame：

Type/Subtype: Beacon frame (0x0008，Bit[5:0]=00,1000B)

Type/Subtype: Probe Response (0x0005，Bit[5:0]=00,0101B)

（2）Control Frame：

Type/Subtype: 802.11 Block Ack (0x0019，Bit[5:0]=01,1001B)

Type/Subtype: Request-to-send (0x001b，Bit[5:0]=01,1011B)

Type/Subtype: Clear-to-send (0x001c，Bit[5:0]=01,1100B)

Type/Subtype: Acknowledgement (0x001d，Bit[5:0]=01,1101B)

（3）Data Frame：

Type/Subtype: Data (0x0020，Bit[5:0]=10,0000B)

Type/Subtype: Null function (No data) (0x0024，Bit[5:0]=10,0100B)

Type/Subtype: QoS Data (0x0028，Bit[5:0]=10,1000B)

Type/Subtype: QoS Data + CF-Ack + CF-Poll (0x002b，Bit[5:0]=10,1011B)

6.通過 RVI 抓取 iPhone 資料包

（1）RVI 簡介

使用 Mac 抓取 iPhone 資料包可通過共享和代理兩種方式：

• 使用 Mac 的網路共享功能將 Mac 的網路通過 WiFi 共享給 iPhone 連線；

這兩種方式都是將 iPhone 的網路流量匯入到 Mac 電腦中，通過 Mac 連線網際網路。這就要求 Mac 本身是聯網的，對於網路共享的方式還要求 Mac 本身的網路不能使用 WiFi，而且在 iPhone 上只能使用 WiFi 連線，無法抓取到 xG（2G/3G/4G） 網路包。

蘋果在 iOS 5 中新引入了“遠端虛擬介面（Remote Virtual Interface,RVI）”的特性，可以在 Mac 中建立一個虛擬網路介面來作為 iOS 裝置的網路棧，這樣所有經過 iOS 裝置的流量都會經過此虛擬介面。此虛擬介面只是監聽 iOS 裝置本身的協議棧（但並沒有將網路流量中轉到 Mac 本身的網路連線上），所有網路連線都是 iOS 裝置本身的，與 Mac 電腦本身聯不聯網或者聯網型別無關。iOS裝置本身可以為任意網路型別（WiFi/xG），這樣在 Mac 電腦上使用任意抓包工具（tcpdump、Wireshark、CPA）抓取 RVI 介面上的資料包就實現了對 iPhone 的抓包。

Mac OS X 對 RVI 的支援是通過終端命令 rvictl 提供的，在終端（Terminal）中輸入“ rvictl  ? ”命令可檢視幫助：

==================================================

rvictl Options:

           -l, -L                     List currently active devices

           -s, -S                     Start a device or set of devices

           -x, -X                    Stop a device or set of devices

==================================================

（2）使用 “ rvictl  -s ”命令建立虛擬介面

首先，通過 MFI USB 資料線將 iPhone 連線到安裝了 Mac OS+Xcode 4.2(or later) 的 Mac 機上。iOS 7 以上需要搭配 Xcode 5.0（or later），抓包過程中必須保持連線。

然後，通過 iTunes->Summary 或者 Xcode->Organizer->Devices 獲取 iPhone 的 UDID（identifier）。

接著，使用“rvictl -s”命令建立 RVI 介面，使用 iPhone 的 UDID 作為引數。

==================================================

$rvictl -s <UDID>

==================================================

建立成功後，在終端通過 ifconfig 命令可以看到多了一個 rvi0 介面。當有多個 iOS 裝置連線 iMac 時，依次是 rvi1,rvi2…，使用“ rvictl  -l ”命令可以列出所有掛接的虛擬介面。

在 Wireshark 首頁選擇 rvi0，使用預設的 Capture Options 即可開始對 iPhone 進行抓包。

下圖為抓取的 WiFi 資料包：

其中 iPhone 手機連線 WiFi 動態獲取的 IP 地址為 192.168.199.230。

下圖為抓取的 3G 資料包：

說明：聯通 3G 上網動態分配的都是 172.20 網段（例如172.20.124.251）的這種B類私網地址（172.16.0.0~172.32.255.255）。手機百度中輸入 IP，ip138 中顯示 112.97.24.178 是深圳聯通附近基站對外的公網閘道器IP地址。

（3）使用“ rvictl  -x ”命令刪除虛擬介面

使用 rvictl -x 命令刪除 RVI 介面，使用 iPhone 的 UDID 作為引數。

==================================================

$rvictl -x <UDID>

==================================================

7.關於監控模式（Monitor Mode）

Q 10.1: How can I capture raw 802.11 frames, including non-data (management, beacon) frames?

NOTE: an interface running in monitor mode will, on most if not all platforms, not be able to act as a regular network interface; putting it into monitor mode will, in effect, take your machine off of whatever network it's on as long as the interface is in monitor mode, allowing it only to passively capture packets.

This means that you when capturing in monitor mode; otherwise, when Wireshark (or TShark, or tcpdump) tries to display IP addresses as host names, it will probably block for a long time trying to resolve the name because it will not be able to communicate with any DNS or NIS servers.

 （2）《》：Q 3: What is the difference betwen monitor and promiscuous mode?

enables a wireless NIC to capture packets without associating with an access point or ad-hoc network. This is desirable in that you can choose to "monitor" a specific channel, and you need never transmit any packets. In fact transmiting is sometimes not possible while in monitor mode (driver dependent). Another aspect of monitor mode is that the NIC does not care whether the CRC values are correct for packets captured in monitor mode, so some packets that you see may in fact be corrupted.

8.關於 Wireshark 的 BPF 許可權問題

實際上，我在 OS X 10.9.4 上安裝 XQuartz+Wireshark 非常順利，沒有出現什麼諸如無法發現網絡卡（no interface available）的許可權問題。

安裝前執行“ ls -l /dev/bpf* ”，bpf0/bpf1/bpf2/bpf3 只有“rw-------”許可權；安裝完成時，再次執行“ ls -l /dev/bpf* ”，發現許可權已經升級為了 “rw-rw----”。

即 Wireshark 已經給當前安裝使用 Wireshark 的 user（administrator）所在的 group 配置了 rw 許可權。相當於執行過“sudo chmod g+rw /dev/bpf* ”，並且已經被配置到隨機啟動，下次開機不用重新執行該命令。

--------------------------------------------------------------------------------

/CapturePrivileges- you must have sufficient privileges to capture packets, e.g. special privileges allowing capturing as a normal user (preferred) or root / Administrator privileges.

In order to capture packets under BSD (including Mac OS X), you must have read access  to the BPF devices in .

--------------------------------------------------------------------------------

9.在越獄 iPhone 上指定網絡卡（WiFi/xG）抓包

上文主要講解的是在不越獄正常許可權情況下，通過 RVI 虛擬介面掛鉤抓取 iPhone 資料包，一臺 iPhone 通常只對應一個 RVI 虛擬介面。但是 iPhone 本身支援兩種上網模式——WiFi/xG（類似PC工作站多網絡卡情形），當 xG 和 WiFi 同時活躍時（en0 為無線網絡卡，pdp_ip0 為 3G 網絡卡），iOS 將 WiFi 作為優先預設路由通道。

那麼，當需要除錯分析 xG/WiFi 切換或並存時的一些路由策略或臨界流量問題時，如何抓取指定通道（WiFi/xG）的資料包呢？使用 RVI 通過包源 IP 可能可以區分，但是由於許可權等問題，總是不那麼方便。此時，通過越獄，在 iPhone 上安裝遠端登入工具包（OpenSSH）、網路診斷分析命令列工具 network-cmds (arp,ifconfig,ping,traceroute,netstat)，然後在 WinPC 或 iMac 上通過SSH隧道傳送tcpdump命令可指定WiFi/xG網絡卡進行抓包（SSH 遠端控制 iPhone 執行 tcpdump 抓包），最後通過 Wireshark 對 pcap 檔案進行分析或統計。

10.關於資料包的源/目的地址

以第4節中 GET http://blog.csdn.net/phunxm 為例，僅做簡單的分析。

###############################################################

No 148:發包 的源MAC/IP地址為本機 MAC/IP 地址。（1）Destination Mac 為 00:00:0c:07:ac:24（CISCO All-HSRP-routers_24）socket 程式設計通常在 IP 層以上進行，一般不關心 MAC 地址。我們的電腦也不可能與 CSDN 部落格伺服器直接相連，一般要經過很多中間節點（hops）。根據鄰居協議，目的 MAC 地址為下一跳（next hop，[default] gateway/Router）的 MAC 地址。通過 Network Utility 或“route -n get default”或“netstat -rn”命令可獲得預設閘道器為 10.64.66.1。通過“arp -a”顯示“? (10.64.66.1) at0:0:c:7:ac:24 on en1 ifscope [ethernet]”。

（2）Destination IP 為 10.14.36.100按道理，目的 IP 地址應該為 CSDN 部落格伺服器（blog.csdn.net）主機的 IP（117.79.157.201），為什麼這裡的卻為 A 類私網地址（10.14.36.100）呢？

這是因為內網使用了 HTTP Proxy，10.14.36.100 是 proxy.pac（參考：原理 、指令碼 、設定 、自動化）基於域名判斷出口返回的 Proxy Server 的IP地址。

###############################################################

No 251: 收包（HTTP/1.1 200 OK）的目的 MAC/IP 地址為接收方（本機）的 MAC/IP 地址。

（1）源 IP 地址為 Proxy Server 的 IP 地址，同上。

（2）源 MAC 地址一般應為【預設】閘道器的 MAC 地址（進出都要過關），實際抓包卻發現 MAC 地址並非【預設】閘道器的MAC地址，這是什麼情況呢？

通過 Windows 的“route print”或 Mac OS X/UNIX 下的 “netstat -r”命令可檢視路由表（Routing Tables）資訊。通過 Windows 下的“tracert  10.14.36.100”或 Mac OS X/UNIX 下的“traceroute 10.14.36.100”命令可檢視本機到代理 10.14.36.100 之間的路由資訊，，而是10.64.66.2！

這是因為採用了熱備路由（HSRP），HSRP 協議利用優先順序決定哪個路由器成為活動路由器，收包的那個陌生源 MAC 地址即是熱備路由（10.64.66.2）的 MAC 地址！

升級到 XQuartz-2.7.8 後，貌似 Wireshark 出現了無法發現網絡卡的問題，索性解除安裝了之前通過 dmg with pkg 

Wireshark 官網 於 18 November，2015 釋出了 Stable Release （2.0.0），可前往下載OS X 10.6 and later Intel 64-bit .dmg  安裝包進行安裝體驗。這次，我使用 brew-cask 來安裝 wireshark 軟體，完整的安裝日誌可參考《》。

鑑於 Mac OS X 在 Mountain Lion 之後已不再自帶 X11，新版的 Wireshark 2.0.0 也摒棄了陳舊的 GTK+X11 介面，取而代之的是與 Windows 版保持一致的 Qt 介面，簡潔清爽。

“Wireshark’s Debian- and RPM-based package definitions provide the new interface in the “wireshark-qt” package and the old interface in the “wireshark-gtk” package. 

The OS X installer only provides the new interface.”

—— Wireshark 2.0.0 Release Notes - What’s New

以下選取了啟動介面和針對本文（Capture Filter 為 host blog.csdn.nethttp.host == blog.csdn.net）的通訊抓包截圖，以饗讀者一睹為快。

則可考慮使用 root 賬戶啟動 wireshark：

[email protected]:~|⇒  cd Applications 
[email protected]:~/Applications|⇒  sudo wireshark 

參考：