Wireshark是一款非常好用的网络抓包工具: http://www.wireshark.org/
下面这篇链接是一个比较general的介绍: How to Use Wireshark to Capture, Filter and Inspect Packets
然而, 默认情况下wireshark会把网络上所有的包都抓过来,所以结果中有很多我们不想去关心的信息.
此时我们就需要使用Filter, 来进行有重点的分析.
下面的链接是wireshark filter的一个easy tutorial
http://openmaniak.com/wireshark_filters.php
详细可以参考下面这连个官方wiki
第一个是抓包的Filter
http://wiki.wireshark.org/CaptureFilters
从这个链接中, 我们可以了解到其实capture filter的语法是和tcpdump(windows下是WinDump)的语法完全相同.
虽然这个文档里面没有提, 但是我认为wireshark可能应该使用的就是tcpdump
参考这个维基百科(http://en.wikipedia.org/wiki/Tcpdump),
tcpdump需要使用库libpcap(packet capture的意思)
而windows下, 对应的, 需要使用WinDump, 同样WinDump依赖于WinPcap
我想着也是为什么在windows上安装wireshark的时候, 会让我们首先安装WinPcap的原因.
第二个是显示的Filter
http://wiki.wireshark.org/DisplayFilters
这个链接不仅仅介绍我们如何可以只显示我们需要的包,
还介绍了wireshark默认对不同类型的包的颜色显示规则(ColoringRules), 当然这些也可以定制.
最后一个链接是wireshark的FAQ, 里面介绍了wireshark的改名等历史原因
http://www.wireshark.org/faq.html
