wireshark过滤规则ftp

⑴ 用wireshark抓包sftp和ftp的区别

-A 以ASCII码方式显示每一个数据包(不会显示数据包中链路层头部信息). 在抓取包含网专页数据的数据包时, 可方属便查看数据(nt: 即Handy for capturing web pages).
-X 当分析和打印时, tcpmp 会打印每个包的头部数据, 同时会以16进制和ASCII码形式打印出每个包的数据(但不包括连接层的头部).这对于分析一些新协议的数据包很方便.
-i eth1：指定监听的网络接口，可以使用ifconfig获取网络配置
host 数据包的源或目的地址是指定IP或者主机名
-w 数据包保存到指定文件

⑵ 用wireshark抓包怎样抓到ftp（已经建立了服务站点，但就是抓不到ftp）

话说你说的真心不够清楚，不太清楚你想干嘛？如果是你想抓自己电脑到ftp服务器的通信数据，回那你就答在自己电脑上装个wireshark，选择自己当前正在使用的网卡，在自己跟ftp服务器通信的时候，开始抓包就行了。如果要抓ftp服务器跟所有客户端的通信数据，那就在ftp服务器上装wireshark，选网卡，抓包就行了。
如果是都抓不到数据包，那可能是如下原因：
1、选取的网卡不是当前活动网卡，或者说不是ftp数据流走的那个网卡。
2、当前与ftp服务器没有通信。

⑶ wireshark嗅探 一个ftp过程

wireshark 我记得这款软件似乎是监听应用层上的数据包的把

打开软件，选择需要监听回的程序，也就是说答需要你设置你用什么软件来登陆FTP，例如CMD下的FTP.exe或者用flashxp等可以登陆FTP的软件。

⑷ 如何使用Wireshark 进行监听TCP FTP HTTP三个协议

Wireshark 进行监听TCP FTP HTTP三个协议

一、下载安装wireshark 从http://www.wireshark.org/ 下载安装Windows平台的wireshark，双击安装文件安装即可，在安装过程中注意选择安装winpcap。

二、启动wireshark后，选择工具栏中的快捷键（红色标记的按钮）即可Start anewlivecapture。

建立命令通道的包交互过程中，有很多FTP命令，包括了SYST、PWD、CWD等，是FTP的标准命令，网络上都可以查到。

Wireshark 进行监听TCP FTP HTTP完成。

⑸ 关于WireShark抓取ftp包问题

随便下载一款FTP软件来建立FTP Server，然后再在另一台PC上使自用cmd.exe或者专用FTP Client软件就可以上传/下载了

如果你的网络不好建立，那么直接用网线直连两台PC机，机器上设置好同样网段的固定IP地址也是可以的，这个模式最简单

try

⑹ wireshark抓取FTP格式的包过滤规则怎么编写在线等，各位大哥，帮帮忙

看wireshark对ftp协议都定义了那些域，可以按照格式要求，根据域进行过滤，如：udp.port == 21

⑺ 如何利用wireshark分析http及ftp协议

一、下载安装wireshark Windows平台的wireshark，双击安装文件安装即可，在安装过程中注意选择安装winpcap。
二、启动wireshark后，选择工具栏中的快捷键（红色标记的按钮）即可Start a new live capture。
主界面上也有一个interface list（如下图红色标记1），列出了系统中安装的网卡，选择其中一个可以接收数据的的网卡也可以开始抓包。 在启动时候也许会遇到这样的问题：弹出一个对话框说 NPF driver 没有启动，无法抓包。在win7或Vista下找到C: \system\system32下的cmd.exe 以管理员身份运行，然后输入 net start npf，启动NPf服务。重新启动wireshark就可以抓包了。

⑻ 怎么用Wireshark抓取ftp

请定义一下什么是还原?因为对不同的协议，还原是不一样的，有的只要把数据提取出来内放到一起就可以容了，有些则需要做很多复杂的事情，当然如果加密的，就更加复杂了，还有些协议中的部分是为了通讯而产生的，比如ftp命令，还原应该是把原来的文件恢复出来吧。好像有个软件可以把文件传输中的文件还原出来。

⑼ 我用wireshark抓包，建立ftp本地服务器，但是怎么也抓不到ftp的包，请问这是为什么呢

本地FTP？数据包都不通过网卡你咋抓的到呢？

⑽ 用wireshark抓包分析FTP协议

你是网络管理员吗？你是不是有过这样的经历：在某一天的早上你突然发现网络性能急剧下降，网络服务不能正常提供，服务器访问速度极慢甚至不能访问，网络交换机端口指示灯疯狂地闪烁、网络出口处的路由器已经处于满负荷的工作状态、路由器CPU已经到了百分之百的负荷……重启动后没有几分钟现象又重新出现了。

这是什么问题？设备坏了吗？不可能几台设备同时出问题。一定是有什么大流量的数据文件，耗尽了网络设备的资源，它们是什么？怎么看到它们？这时有经验的网管人员会想到用局域网抓包工具来分析一下。

你一定听说过红色代码、Nimda、冲击波以及震荡波这些臭名昭著的网络杀手。就是它们制造了上述种种恶行。它们来势汹汹，阻塞网络、感染主机，让网络管理员苦不堪言。当网络病毒出现时，如何才能及时发现染毒主机？下面我根据网络病毒都有扫描网络地址的特点，给大家介绍一个很实用的方法：用抓包工具寻找病毒源。

1．安装抓包工具。目的就是用它分析网络数据包的内容。找一个免费的或者试用版的抓包工具并不难。我使用了一种叫做SpyNet3.12 的抓包工具，非常小巧, 运行的速度也很快。安装完毕后我们就有了一台抓包主机。你可以通过SpyNet设置抓包的类型，比如是要捕获IP包还是ARP包，还可以根据目的地址的不同，设置更详细的过滤参数。

2．配置网络路由。你的路由器有缺省网关吗？如果有，指向了哪里？在病毒爆发的时候把缺省网关指向另外一台路由器是很危险的（除非你想搞瘫这台路由器）。在一些企业网里往往仅指出网内地址段的路由，而不加缺省路由，那么就把缺省路由指到抓包主机上吧（它不下地狱谁下地狱？当然这台主机的性能最好是高一点的，否则很容易被病毒冲击而亡）。这样可以让那些病毒主机发出的绝大部分扫描都自动送上门来。或者把网络的出口映像到抓包主机上，所有对外访问的网络包都会被分析到。

3．开始抓包。抓包主机已经设置好了，网络里的数据包也已经送过来了，那么我们看看网络里传输的到底是些什么。打开SpyNet 点击Capture 你会看到好多的数据显示出来，这些就是被捕获的数据包（如图）。

图中的主体窗口里显示了抓包的情况。列出了抓到数据包的序号、时间、源目的MAC地址、源目的IP地址、协议类型、源目的端口号等内容。很容易看出IP地址为10.32.20.71的主机在极短的时间内向大量的不同主机发出了访问请求，并且目的端口都是445。

4.找出染毒主机。从抓包的情况看，主机10.32.20.71值得怀疑。首先我们看一下目的IP地址，这些地址我们网络里存在吗？很可能网络里根本就没有这些网段。其次，正常情况下访问主机有可能在这么短的时间里发起这么多的访问请求吗？在毫秒级的时间内发出几十甚至几百个连接请求，正常吗？显然这台10.32.20.71的主机肯定有问题。再了解一下Microsoft-DS协议，该协议存在拒绝服务攻击的漏洞，连接端口是445，从而进一步证实了我们的判断。这样我们就很容易地找到了染毒主机的IP地址。剩下的工作就是给该主机操作系统打补丁杀病毒了。

既然抓到了病毒包，我们看一下这个数据包二进制的解码内容：

这些数据包的长度都是62个字节。数据包前12个字节包括了目的MAC和源MAC的地址信息，紧跟着的2字节指出了数据包的类型，0800代表的是IP包格式，0806代表ARP包格式。接着的20个字节是封装的IP包头，包括了源、目的IP地址、IP版本号等信息。剩下的28个字节封装的是TCP包头，包括了源、目的端口，TCP链接的状态信息等。这就构成了一个62字节的包。可以看出除了这些包头数据之外，这个包没有携带其他任何的有效数据负荷，所以这是一个TCP要求445端口同步的空包，也就是病毒主机在扫描445端口。一旦染毒主机同步上没有采取防护措施的主机445端口，便会利用系统漏洞传播感染。