第1章 走進(jìn)Wireshark 1 1.1　Wireshark是什么　2 1.1.1　Wireshark的功能　2 1.1.2　Wireshark的歷史　3 1.1.3　Wireshark的工作原理　3 1.1.4　Wireshark的優(yōu)勢(shì)　4 1.2　如何下載和安裝Wireshark　6 1.2.1　安裝前的準(zhǔn)備　6 1.2.2　下載Wireshark　6 1.2.3　Wireshark的安裝　7 1.3　一次完整的Wireshark使用過(guò)程　8 1.3.1　選擇合適的網(wǎng)卡　9 1.3.2　開(kāi)始數(shù)據(jù)包的捕獲　10 1.3.3　過(guò)濾無(wú)用的數(shù)據(jù)　14 1.3.4　將捕獲到的數(shù)據(jù)包保存到文件　18 1.4　小結(jié)　19 第2章　過(guò)濾無(wú)用的數(shù)據(jù)包　20 2.1　伯克利包過(guò)濾　21 2.2　捕獲過(guò)濾器　23 2.3　顯示過(guò)濾器　25 2.3.1　使用過(guò)濾器輸入框創(chuàng)建顯示過(guò)濾器　25 2.3.2　使用過(guò)濾器表達(dá)式創(chuàng)建顯示過(guò)濾器　26 2.3.3　在數(shù)據(jù)包細(xì)節(jié)面板中創(chuàng)建顯示過(guò)濾器　28 2.4　小結(jié)　29 第3章　捕獲文件的打開(kāi)與保存　30 3.1　捕獲接口的輸出功能　30 3.2　環(huán)狀緩沖區(qū)　33 3.3　捕獲接口的其他功能　33 3.3.1　顯示選項(xiàng)　33 3.3.2　解析名稱　34 3.3.3　自動(dòng)停止捕獲　35 3.4　保存捕獲到的數(shù)據(jù)　35 3.5　保存顯示過(guò)濾器　37 3.6　保存配置文件　39 3.7　小結(jié)　42 第4章　虛擬網(wǎng)絡(luò)環(huán)境的構(gòu)建　43 4.1　虛擬網(wǎng)絡(luò)設(shè)備的構(gòu)建工具eNSP　43 4.1.1　eNSP的下載與安裝　44 4.1.2　使用eNSP創(chuàng)建一個(gè)實(shí)驗(yàn)環(huán)境　48 4.2　虛擬PC的工具VMware　51 4.3　在虛擬環(huán)境中引入Kali Linux 2　52 4.4　在虛擬環(huán)境中安裝其他操作系統(tǒng)　57 4.5　eNSP與VMware的連接　58 4.5.1　VMware中的網(wǎng)絡(luò)連接　58 4.5.2　通過(guò)eNSP中的云與VMware相連　60 4.6　小結(jié)　65 第5章　各種常見(jiàn)的網(wǎng)絡(luò)設(shè)備　66 5.1　網(wǎng)線　66 5.2　集線器　69 5.3　交換機(jī)　71 5.4　路由器的工作原理　77 5.5　小結(jié)　78 第6章　Wireshark的部署方式　79 6.1　完成遠(yuǎn)程數(shù)據(jù)包捕獲　79 6.2　集線器環(huán)境　84 6.3　交換環(huán)境　84 6.3.1　端口鏡像　85 6.3.2　ARP欺騙　88 6.3.3　網(wǎng)絡(luò)分路器　90 6.4　完成本地流量的捕獲　91 6.5　完成虛擬機(jī)流量的捕獲　92 6.6　小結(jié)　94 第7章　找到網(wǎng)絡(luò)發(fā)生延遲的位置　95 7.1　建立一個(gè)可訪問(wèn)遠(yuǎn)程HTTP服務(wù)器的仿真網(wǎng)絡(luò)　95 7.2　觀察遠(yuǎn)程訪問(wèn)HTTP的過(guò)程　100 7.3　時(shí)間顯示設(shè)置　103 7.4　各位置延遲時(shí)間的計(jì)算　107 7.4.1　網(wǎng)絡(luò)傳輸延遲的計(jì)算　108 7.4.2　客戶端延遲的計(jì)算　109 7.4.3　服務(wù)端延遲的計(jì)算　109 7.5　小結(jié)　110 第8章　分析不能上網(wǎng)的原因　111 8.1　建立一個(gè)用于測(cè)試的仿真網(wǎng)絡(luò)　111 8.2　可能導(dǎo)致不能上網(wǎng)的原因　113 8.3　檢查計(jì)算機(jī)的網(wǎng)絡(luò)設(shè)置　113 8.3.1　確保網(wǎng)卡正常啟動(dòng)　113 8.3.2　檢查IP配置的正確性　114 8.3.3　檢查與網(wǎng)關(guān)的連接是否正常　120 8.3.4　獲取域名服務(wù)器的IP地址　121 8.4　檢查網(wǎng)絡(luò)路徑的連通性　122 8.5　其他情形　124 8.6　小結(jié)　125 第9章　來(lái)自鏈路層的攻擊——失常的交換機(jī)　126 9.1　針對(duì)交換機(jī)的常見(jiàn)攻擊方式　127 9.1.1　MAC地址欺騙攻擊　127 9.1.2　MAC地址泛洪攻擊　128 9.1.3　STP操縱攻擊　128 9.1.4　廣播風(fēng)暴攻擊　129 9.2　使用Wireshark分析針對(duì)交換機(jī)的攻擊　129 9.2.1　統(tǒng)計(jì)功能　130 9.2.2　MAC地址泛洪攻擊　134 9.2.3　找到攻擊的源頭　135 9.3　使用macof發(fā)起MAC地址泛洪攻擊　137 9.4　如何防御MAC地址泛洪攻擊　138 9.5　小結(jié)　139 第10章　來(lái)自網(wǎng)絡(luò)層的欺騙——中間人攻擊　140 10.1　中間人攻擊的相關(guān)理論　140 10.1.1　ARP協(xié)議的相關(guān)理論　141 10.1.2　ARP欺騙的原理　146 10.2　使用專家系統(tǒng)分析中間人攻擊　146 10.3　如何發(fā)起中間人攻擊　150 10.3.1　使用arpspoof來(lái)發(fā)起攻擊　150 10.3.2　使用Wireshark來(lái)發(fā)起攻擊　153 10.4　如何防御中間人攻擊　154 10.4.1　靜態(tài)綁定ARP表項(xiàng)　154 10.4.2　使用DHCP Snooping功能　154 10.4.3　劃分VLAN　155 10.5　小結(jié)　155 第11章　來(lái)自網(wǎng)絡(luò)層的攻擊——淚滴攻擊　156 11.1　淚滴攻擊的相關(guān)理論　156 11.1.1　IP協(xié)議的格式　157 11.1.2　IP分片　158 11.1.3　淚滴攻擊　161 11.2　Wireshark的著色規(guī)則　162 11.3　根據(jù)TTL值判斷攻擊的來(lái)源　166 11.4　小結(jié)　168 第12章　來(lái)自傳輸層的洪水攻擊（1）——SYN Flooding　169 12.1　拒絕服務(wù)攻擊的相關(guān)理論　170 12.1.1　TCP連接的建立方式　170 12.1.2　SYN flooding攻擊　173 12.2　模擬SYN flooding攻擊　173 12.2.1　構(gòu)造一個(gè)仿真環(huán)境　173 12.2.2　使用Hping3發(fā)起SYN flooding攻擊　174 12.3　使用Wireshark的流向圖功能來(lái)分析SYN flooding攻擊　175 12.4　如何解決SYN Flooding拒絕服務(wù)攻擊　177 12.5　在Wireshark中顯示地理位置　178 12.6　小結(jié)　184 第13章　網(wǎng)絡(luò)在傳輸什么——數(shù)據(jù)流功能　185 13.1　TCP的數(shù)據(jù)傳輸　185 13.2　Wireshark中的TCP流功能　187 13.3　網(wǎng)絡(luò)取證實(shí)踐　192 13.4　小結(jié)　198 第14章　來(lái)自傳輸層的洪水攻擊（2）——UDP Flooding　199 14.1　UDP Flooding的相關(guān)理論　199 14.1.1　UDP協(xié)議　199 14.1.2　UDP Flooding攻擊　200 14.2　模擬UDP Flooding攻擊　201 14.3　使用Wireshark的繪圖功能來(lái)分析UDP Flooding攻擊　201 14.4　如何防御UDP Flooding攻擊　207 14.5　amCharts的圖表功能　209 14.6　小結(jié)　214 第15章　來(lái)自應(yīng)用層的攻擊——緩沖區(qū)溢出　215 15.1　緩沖區(qū)溢出攻擊的相關(guān)理論　215 15.1.1　Wireshark觀察下的HTTP協(xié)議　216 15.1.2　HTTP的請(qǐng)求與應(yīng)答　216 15.1.3　HTTP的常用方法　217 15.1.4　HTTP中常用的過(guò)濾器　217 15.2　模擬緩沖區(qū)溢出攻擊　218 15.3　使用Wireshark 分析緩沖區(qū)溢出攻擊　222 15.4　使用Wireshark檢測(cè)遠(yuǎn)程控制　227 15.5　Wireshark對(duì)HTTPS協(xié)議的解析　230 15.6　小結(jié)　232 第16章　擴(kuò)展Wireshark的功能　233 16.1　Wireshark編程開(kāi)發(fā)的基礎(chǔ)　233 16.1.1　Wireshark中對(duì)Lua的支持　234 16.1.2　Wireshark中Lua的初始化　235 16.2　使用Lua開(kāi)發(fā)簡(jiǎn)單擴(kuò)展功能　235 16.3　用Wireshark開(kāi)發(fā)新的協(xié)議解析器　236 16.3.1　新協(xié)議的注冊(cè)　236 16.3.2　解析器的編寫　239 16.4　測(cè)試新協(xié)議　241 16.5　編寫惡意攻擊數(shù)據(jù)包檢測(cè)模塊　245 16.6　小結(jié)　248 第17章　Wireshark中的輔助工具　249 17.1　Wireshark命令行工具　249 17.2　Tshark.exe的使用方法　250 17.3　Dumpcap的用法　252 17.4　Editcap的使用方法　253 17.5　Mergecap的使用方法　254 17.6　capinfos的使用方法　255 17.7　USBPcapCMD的使用方法　256 17.8　小結(jié)　258