wireshark 抓包

1. 限制单包大小
可以通过限制每个包的尺寸来减少整个抓包文件的大小。旧版本的wireshark在执行菜单栏上的Capture -> Options,在弹出的对话框中找到Limit each packet to,填写合适的单包大小(如200,单位是Byte)。新版本的wireshark(2.x以后)的Options对话框变化比较大,限制单包的方法是:在弹出的Options对话框中,找到要抓包的Interface,选中它,找到列表标题中的Snaplen(B),单击对应栏,发现变为可输出状态,在这里输入限制的单包大小即可(同旧版本的Limi each packet to)。见下图:

2.巧用ping来分隔抓包操作步骤
可以利用ping -n 1 -l x(其中x=1,2,3……)来巧妙的分隔抓包操作步骤,什么意思呢?比如我们只想要某个操作的相关抓包内容,在抓包文件中怎么快速找到这个操作的起始范围呢?可以这样做:

ping IP -n 1 -l 1
do something
ping IP -n 1 -l 2


第一条ping,发送1字节(使用-l设定),只发1次
第三条ping,发送2字节(使用-l设定),只发1次

这样,在最终的抓包文件中,我们就可以寻找ping命令对应的ICMP,查看data size:在1字节和2字节之间的那些编号的包,就是我们上面 do something对应的抓包内容了。

原文地址:https://www.cnblogs.com/linuxws/p/11400111.html