最近,Wireshark 发布了其免费和开源数据包分析器的新版本 Wireshark 3.6.0,具有所有新功能和协议。

Wireshark 是一个网络嗅探器 – 一个用于抓取和分析网络数据包的工具。 Wireshark 可以解码的协议数量巨大,不胜枚举。

Wireshark 当时于 1998 年发布,最初被称为 Ethereal,已成为最可靠的网络协议分析器之一,享有盛誉。它实时捕获数据包并以简单易读的格式显示它们。2006 年,由于商标问题,开发商不得不将其名称改为 Wireshark 。

Wireshark 使用起来绝对安全。政府机构、公司、非营利组织和教育机构使用 Wireshark 进行故障排除和教学目的。或许,没有比在 Wireshark 下观察流量更好的学习网络的方法了。

另一方面,由于 Wireshark 是一个强大的数据包嗅探器,因此存在关于其合法性的问题。它捕获本地网络上的网络流量并存储该数据以供离线分析。因此,您应该只在您有权检查网络数据包的网络上使用 Wireshark。

现在Wireshark 3.6.0稳定版已经发布,让我们来看看有什么新东西。

Wireshark 3.6.0 亮点

在最新的 Wireshark 版本中,对显示过滤器语法进行了一些更改。现在可以使用语法a ~= ba any_ne b恢复以前的(与 不一致的==)逻辑为不相等。此外,表达式a != b现在始终与 具有相同的含义!(a == b)

特别是这意味着具有多值字段的过滤器表达式ip.addr != 1.1.1.1将按预期工作(ip.src != 1.1.1.1 and ip.dst != 1.1.1.1 结果与输入相同)。这避免了矛盾(a == b and a != b)为true。

此外,现在可以使用原始字符串语法指定文字字符串,与Python 编程语言中的原始字符串相同。这可用于避免在正则表达式中使用两级字符转义的复杂性。

Wireshark 3.6.0 中的 TCP 对话现在支持完整性标准,这有助于识别具有任意组合的打开或关闭握手、有效载荷的 TCP 流。可以使用新tcp.completeness过滤器访问它。

需要注意的是,Wireshark 现在支持读取 Windows 事件跟踪 (ETW)。创建了一个名为 ETW 读取器的新 extcap,它现在可以打开一个 etl 文件,将文件中的所有事件转换为 DLT_ETW 数据包并写入指定的 FIFO 目标。

在其他值得注意的变化中,Wireshark 3.6.0 增加了对许多新协议的支持。

Wireshark 3.6.0所有变化的详细信息可以参考 官方公告

如何安装 Wireshark

Wireshark 适用于所有主要的 Linux 发行版。但是,Wiresshark 开发人员提供了一个官方 PPA,您可以使用它在Ubuntu和其他基于 Ubuntu 的发行版上安装 Wireshark 的最新稳定版本。

打开终端并使用以下命令:

linuxmi@linuxmi:~/www.linuxmi.com$ sudo add-apt-repository ppa:wireshark-dev/stable

linuxmi@linuxmi:~/www.linuxmi.com$ sudo apt update

linuxmi@linuxmi:~/www.linuxmi.com$ sudo apt install wireshark

安装时会询问是否允许非超级用户抓包。选择Yes

接下来,您必须将您自己的用户添加到wireshark组中,以便该用户可以使用 Wireshark。为此,请执行以下命令:

linuxmi@linuxmi:~/www.linuxmi.com$ sudo usermod -aG wireshark $(whoami)

您现在可以通过在 Ubuntu 桌面上打开活动来打开 Wireshark,或在在搜索栏中输入“Wireshark”,然后单击应用程序。

发表评论