目　录

第1章　数据包分析技术与网络基础　1
1.1　数据包分析与数据包嗅探器　2
1.1.1　评估数据包嗅探器　2
1.1.2　数据包嗅探器工作原理　3
1.2　网络通信原理　4
1.2.1　协议　4
1.2.2　七层OSI参考模型　5
1.2.3　数据封装　8
1.2.4　网络硬件　10
1.3　流量分类　15
1.3.1　广播流量　15
1.3.2　多播流量　16
1.3.3　单播流量　16
1.4　小结　17

第2章　监听网络线路　19
2.1　混杂模式　20
2.2　在集线器连接的网络中进行嗅探　21
2.3　在交换式网络中进行嗅探　23
2.3.1　端口镜像　23
2.3.2　集线器输出　25
2.3.3　使用网络分流器　26
2.3.4　ARP欺骗　29
2.4　在路由网络环境中进行嗅探　34
2.5　部署嗅探器的实践指南　36

第3章　Wireshark入门　39
3.1　Wireshark简史　39
3.2　Wireshark的优点　40
3.3　安装Wireshark　41
3.3.1　在微软Windows系统中安装　41
3.3.2　在Linux系统中安装　43
3.3.3　在Mac OS X系统中安装　45
3.4　Wireshark初步入门　45
3.4.1　第一次捕获数据包　45
3.4.2　Wireshark主窗口　46
3.4.3　Wireshark首选项　48
3.4.4　数据包彩色高亮　49

第4章　玩转捕获数据包　53
4.1　使用捕获文件　53
4.1.1　保存和导出捕获文件　54
4.1.2　合并捕获文件　55
4.2　分析数据包　55
4.2.1　查找数据包　56
4.2.2　标记数据包　57
4.2.3　打印数据包　57
4.3　设定时间显示格式和相对参考　58
4.3.1　时间显示格式　58
4.3.2　数据包的相对时间参考　59
4.4　设定捕获选项　60
4.4.1　捕获设定　61
4.4.2　捕获文件设定　61
4.4.3　停止捕获选项　62
4.4.4　显示选项　62
4.4.5　名字解析选项　63
4.5　使用过滤器　63
4.5.1　捕获过滤器　63
4.5.2　显示过滤器　69
4.5.3　保存过滤器　72

第5章　Wireshark高级特性　75
5.1　网络端点和会话　75
5.1.1　查看端点　76
5.1.2　查看网络会话　77
5.1.3　使用端点和会话窗口进行问题定位　78
5.2　基于协议分层结构的统计数据　79
5.3　名字解析　81
5.3.1　开启名字解析　81
5.3.2　名字解析的潜在弊端　82
5.4　协议解析　82
5.4.1　更换解析器　82
5.4.2　查看解析器源代码　85
5.5　跟踪TCP流　85
5.6　数据包长度　86
5.7　图形展示　88
5.7.1　查看IO图　88
5.7.2　双向时间图　90
5.7.3　数据流图　91
5.8　专家信息　92

第6章　通用底层网络协议　95
6.1　地址解析协议　96
6.1.1　ARP头　97
6.1.2　数据包1：ARP请求　98
6.1.3　数据包2：ARP响应　99
6.1.4　无偿的ARP　100
6.2　互联网协议　101
6.2.1　IP地址　102
6.2.2　IPv4头　103
6.2.3　存活时间　104
6.2.4　IP分片　107
6.3　传输控制协议　109
6.3.1　TCP头　109
6.3.2　TCP端口　110
6.3.3　TCP的三次握手　113
6.3.4　TCP终止　116
6.3.5　TCP重置　117
6.4　用户数据报协议　118
6.5　互联网控制消息协议　119
6.5.1　ICMP头　119
6.5.2　ICMP类型和消息　120
6.5.3　Echo请求与响应　120
6.5.4　路由跟踪　122

第7章　常见高层网络协议　127
7.1　动态主机配置协议DHCP　127
7.1.1　DHCP头结构　128
7.1.2　DHCP续租过程　129
7.1.3　DHCP租约内续租　134
7.1.4　DHCP选项和消息类型　134
7.2　域名系统　135
7.2.1　DNS数据包结构　135
7.2.2　一次简单的DNS查询过程　136
7.2.3　DNS问题类型　138
7.2.4　DNS递归　139
7.2.5　DNS区域传送　142
7.3　超文本传输协议　145
7.3.1　使用HTTP浏览　145
7.3.2　使用HTTP传送数据　147
7.4　小结　149

第8章　基础的现实世界场景　151
8.1　数据包层面的社交网络　152
8.1.1　捕获Twitter流量　152
8.1.2　捕获Facebook流量　156
8.1.3　比较Twitter和Facebook的方法　158
8.2　捕获ESPN.com流量　159
8.2.1　使用会话窗口　159
8.2.2　使用协议分层统计窗口　160
8.2.3　查看DNS流量　161
8.2.4　查看HTTP请求　162
8.3　现实世界问题　163
8.3.1　无法访问Internet：配置问题　163
8.3.2　无法访问Internet：意外重定向　166
8.3.3　无法访问Internet：上游问题　169
8.3.4　打印机故障　172
8.3.5　分公司之困　175
8.3.6　生气的开发者　179
8.4　小结　184

第9章　让网络不再卡　185
9.1　TCP的错误恢复特性　186
9.1.1　TCP重传　186
9.1.2　TCP重复确认和快速重传　189
9.2　TCP流控制　194
9.2.1　调整窗口大小　195
9.2.2　用零窗口通知停止数据流　196
9.2.3　TCP滑动窗口实战　197
9.3　从TCP错误控制和流量控制中学到的　200
9.4　定位高延迟的原因　201
9.4.1　正常通信　202
9.4.2　慢速通信——线路延迟　202
9.4.3　慢速通信——客户端延迟　203
9.4.4　慢速通信——服务器延迟　204
9.4.5　延迟定位框架　204
9.5　网络基线　205
9.5.1　站点基线　206
9.5.2　主机基线　207
9.5.3　应用程序基线　208
9.5.4　基线的其他注意事项　209
9.6　小结　209

第10章　安全领域的数据包分析　211
10.1　网络侦察　212
10.1.1　SYN扫描　212
10.1.2　操作系统指纹术　216
10.2　漏洞利用　219
10.2.1　极光行动　219
10.2.2　ARP缓存中毒攻击　225
10.2.3　远程访问特洛伊木马　229
10.3　小结　236

第11章　无线网络数据包分析　237
11.1　物理因素　237
11.1.1　一次嗅探一个信道　238
11.1.2　无线信号干扰　239
11.1.3　检测和分析信号干扰　239
11.2　无线网卡模式　240
11.3　在Windows上嗅探无线网络　242
11.3.1　配置AirPcap　242
11.3.2　使用AirPcap捕获流量　243
11.4　在Linux上嗅探无线网络　244
11.5　802.11数据包结构　246
11.6　在Packet List面板增加无线专用列　247
11.7　无线专用过滤器　248
11.7.1　筛选特定BSS ID的流量　249
11.7.2　筛选特定的无线数据包类型　249
11.7.3　筛选特定频率　250
11.8　无线网络安全　251
11.8.1　成功的WEP认证　251
11.8.2　失败的WEP认证　253
11.8.3　成功的WPA认证　253
11.8.4　失败的WPA认证　255
11.9　小结　256

附录A　延伸阅读　257