使用 Wireshark 选取你要抓包的网络接口，并设置你的过滤器之后，当有数据通信后即可抓到对应的数据包，这里将分析其每一帧数据包的结构。
-
每一帧数据都有类似的结构组成，我这里使用抓到一个对应的ping 包进行分析。
-
这一帧包包含以下四种信息.
- Frame: 物理层的数据帧情况。
- Ethernet II , Src: 数据链路层以太网帧头部信息。
- Internet Protocol Version 4, Src: 互联网层IP包头信息。
- Internet Control Message Protocol: 互联网控制信息协议。ping 小包所使用的协议。
- 前三层基本上都是一样的，第四层开始就可以出现TCP, UDP 协议，第五层就可能有HTTP 应用层协议等等。
-
第一层 : Frame: 物理层的数据帧概况
Frame 715: 98 bytes on wire (784 bits), 98 bytes captured (784 bits) on interface 0
//第715帧，有98个字节在线上，共784位，实际捕获到784字节在0接口
Interface id: 0 (DeviceNPF_{B67BEA54-B193-42D8-9DA9-11312F90107A}) //接口ID：0
Encapsulation type: Ethernet (1) //封装类型
Arrival Time: Mar 22, 2017 13:30:44.053763000 中国标准时间 //到达时间
Time shift for this packet: 0.000000000 seconds //包偏移时间，不懂。。.
Epoch Time: 1490160644.053763000 seconds //有可能是1990 到现在的时间
Time delta from previous captured frame: 0.000349000 seconds//两帧之间的时间间隔
Time delta from previous displayed frame: 0.000000000 seconds//捕获到显示的间隔时间
Time since reference or first frame: 274.038861000 seconds //此包和第一帧的时间间隔
Frame Number: 715 //帧号
Frame Length: 98 bytes (784 bits) //帧长度
Capture Length: 98 bytes (784 bits) //捕获的帧长度
Frame is marked: False //帧显著标志
Frame is ignored: False //帧忽略标志
Protocols in frame: eth:ethertype:ip:icmp:data //帧内封装的协议层次结构
Coloring Rule Name: ICMP //着色标记的协议
Coloring Rule String: icmp || icmpv6 //着色规则显示的字符串
- 第二层： Ethernet II , Src: 数据链路层以太网帧头部信息。
Ethernet II, Src: TexasIns_ce:a9:4b (68:c9:0b:ce:a9:4b), Dst: AplexTec_0d:4e (40:d8:55:16:ad:4e)
// 源MAC地址：TexasIns_ce:a9:4b (68:c9:0b:ce:a9:4b)
//目标MAC地址：AplexTec_0d:4e (40:d8:55:16:ad:4e)
Destination: AplexTec_0d:4e (40:d8:55:16:ad:4e) //目的MAC地址
Source: TexasIns_ce:a9:4b (68:c9:0b:ce:a9:4b) //源MAC地址
- 第三层： Internet Protocol Version 4, Src: 以太网协议层
Internet Protocol Version 4, Src: 192.168.0.199, Dst: 192.168.0.192
// IPv4 协议 源IP：192.168.0.199， 目的IP：192.168.0.192
0100 .... = Version: 4 // 版本4
.... 0101 = Header Length: 20 bytes (5) // 头长度20字节
Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT) //差分服务区域
0000 00.. = Differentiated Services Codepoint: Default (0) // 差分服务字段
.... ..00 = Explicit Congestion Notification: Not ECN-Capable Transport (0)
//明确的阻塞指示
Total Length: 84 // 总长度
Identification: 0x0000 (0) // 鉴别
Flags: 0x02 (Don't Fragment) // 标志
0... .... = Reserved bit: Not set // 保留位
.1.. .... = Don't fragment: Set // 不要分离碎片
..0. .... = More fragments: Not set // 分离
Fragment offset: 0 // 分的偏移量
Time to live: 64 // 生存期
Protocol: ICMP (1) // 协议名称
Header checksum: 0xb7d1 [validation disabled] // 头部校验和
Header checksum status: Unverified // 头部校验和检验状态：
Source: 192.168.0.199 // 源IP
Destination: 192.168.0.192 // 目的地IP
Source GeoIP: Unknown // 源的 基于IP 查询地理位置 Geo IP: Geolocation IP
Destination GeoIP: Unknown
- 第四层： UDP, TCP, ICMP， 等等协议层
// 这里面描述了这些协议独有的东西：
// ping 小包一般所使用的就是这种协议进行传输数据
Internet Control Message Protocol // 因特网控制信息协议
Type: 8 (Echo (ping) request) // 类型，ping 请求
Code: 0
Checksum: 0x6eb9 [correct] // 和校验
Checksum Status: Good // 和检验状态
Identifier (BE): 59906 (0xea02) // 标识符
Identifier (LE): 746 (0x02ea) // 标识符
Sequence number (BE): 5 (0x0005) // BE 序列号
Sequence number (LE): 1280 (0x0500) //LE 序列号
Data (56 bytes) // 数据
// ... ...