---恢復內容開始---
前言
做流量分析很長時間了但是一直沒有系統的去總結過這類題目的做法和思路以及wireshark的使用方法，這次做題的時候突然發現了一個總結的特別好的博客，因此想趁機做個筆記總結一下。
參考鏈接：https://mp.weixin.qq.com/s?__biz=MzU1ODg3NTMyMQ==&mid=2247489263&idx=1&sn=d9060114d924266ed2bdf4311ca030dd&source=41#wechat_redirect
https://jwt1399.top/2019/07/29/ctf-liu-liang-fen-xi-zong-jie/#toc-heading-4
Wireshark的使用
wireshark的基本使用方法有數據包篩選、數據包搜索、數據包還原、 數據提取四個部分。
1.數據包篩選
1.1篩選ip
源篩選ip
ip.src == ip 地址
或者手動操作
點擊任意一個符合篩選條件的數據包，找到IPv4下的Source字段。
右鍵點擊Source字段，作為過濾器應用 – 選中。
目的ip篩選
ip.dst == ip地址
或者手動操作：
點擊任意一個符合篩選條件的數據包，找到IPv4下的Destination字段，右鍵點擊Destination字段，作為過濾器應用 – 選中。
1.2 mac地址篩選:
eth.dst ==A0:00:00:04:C5:84 篩選目標mac地址
eth.addr==A0:00:00:04:C5:84 篩選MAC地址
1.3 端口篩選：
tcp.dstport == 80 篩選tcp協議的目標端口為80 的流量包
tcp.srcport == 80 篩選tcp協議的源端口為80 的流量包
udp.srcport == 80 篩選udp協議的源端口為80 的流量包
1.4 協議篩選：
tcp 篩選協議為tcp的流量包
udp 篩選協議為udp的流量包
arp/icmp/http/ftp/dns/ip 篩選協議為arp/icmp/http/ftp/dns/ip的流量包
1.5 包長度篩選：
udp.length ==20 篩選長度為20的udp流量包
tcp.len >=20 篩選長度大於20的tcp流量包
ip.len ==20 篩選長度為20的IP流量包
frame.len ==20 篩選長度為20的整個流量包
1.6 http請求篩選
請求方法為GET：http.request.method==“GET”篩選HTTP請求方法為GET的 流量包
請求方法為POST：http.request.method==“POST”篩選HTTP請求方法為POST的流量包
指定URI：http.request.uri==“/img/logo-edu.gif”篩選HTTP請求的URL為/img/logo-edu.gif的流量包
請求或相應中包含特定內容：http contains “FLAG” 篩選HTTP內容為/FLAG的流量包
2.數據包搜索
在wireshark界面按“Ctrl+F”，可以進行關鍵字搜索：
Wireshark的搜索功能支持正則表達式、字符串、十六進制等方式進行搜索，通常情況下直接使用字符串方式進行搜索。
搜索欄的左邊下拉，有分組列表、分組詳情、分組字節流三個選項，分別對應wireshark界面的三個部分，搜索時選擇不同的選項以指定搜索區域：
搜索欄的左邊下拉，有分組列表、分組詳情、分組字節流三個選項，分別對應wireshark界面的三個部分，搜索時選擇不同的選項以指定搜索區域
這是分組列表
這是分組詳情：
分組字節流：
3. 數據包還原
在wireshark中，存在一個交追蹤流的功能，可以將HTTP或TCP流量集合在一起並還原成原始數據，具體操作方式如下：
選中想要還原的流量包，右鍵選中，選擇追蹤流 – TCP流/UPD流/SSL流/HTTP流。
可在彈出的窗口中看到被還原的流量信息：
4. 數據提取
Wireshark支持提取通過http傳輸（上傳/下載）的文件內容，方法如下：
選中http文件傳輸流量包，在分組詳情中找到data或者Line-based text data:text/html層，鼠標右鍵點擊 – 選中 導出分組字節流。
如果是菜刀下載文件的流量，需要刪除分組字節流前開頭和結尾的X@Y字符，否則下載的文件會出錯。鼠標右鍵點擊 – 選中 顯示分組字節…
在彈出的窗口中設置開始和結束的字節（原字節數開頭加3，結尾減3）
最后點擊save as按鈕導出。