Wireshark之远程抓包

时间:2024-05-20 09:39:29

1.场景描述

工作中有时候分析问题想要抓包,但是目标服务器由于各种原因无法在目标服务器进行抓包,这是就需要远程抓包分析。

wireshark可以实现本地抓包,同时Wireshark也支持remote packet capture protocol(rpcapd)协议远程抓包,只要在远程主

机上安装相应的rpcapd服务就可以实现在本地电脑执行wireshark 捕获远程电脑的流量了

2. 安装&启动WinPcap

1) 下载安装

官网下载点击安装包后,即可按照正常流程进行进行安装。

2) 开启rpcapd服务

a) “ win + r   ”  打开运行窗口,

b)  然后输入 “  services.msc  " 打开” 服务“ 窗口,

c) 找到 ” Remote Packet Capture Protocol v.0 (experimental) “ ,开启该服务。

如果我们不再需要该功能时,为了安全起见,应该将该服务关闭。以免其他人非法链接到远程主机进行流量监听。当然可

以根据需求设置可以进行远程连接的主机的IP。如果windows防火墙或者其他软件禁止该服务,请将该服务添加到白名单。

3) Linux下安装启动rpcapd

如果远程抓包的机器是linux,需要安装rpcapd,以便让 Wireshark 连接该服务器,安装方法如下:

a) 安装相应依赖

 # yum install glibc-static flex binutils

b)  下载rpcapd安装包,也可以官网下载

# cd /home

# wget http://www.winpcap.org/install/bin/WpcapSrc_4_1_2.zip

# unzip WpcapSrc_4_1_2.zip

c) 编译rpcapd

# cd /home/winpcap/wpcap/libpcap

# chmod +x configure runlex.sh

# CFLAGS=-static ./configure

# make

# cd rpcapd && make

d) 运行服务

# ./rpcapd -n -d

3. 远程机抓包

这里,测试举例远程服务器为Windows,远程机器需要安装WinPcap,并启动。

1) 开启远程机rpcapd服务,参考上一步开启Windows下,rpcapd服务(若远程机为linux,参考上一步Linux下安装启动rpcapd)。

2) 打开 Wireshark(以中文版为例),主界面 --->> 捕获--->> 选项(Ctrl +k)--->> 捕获接口--->> 管理接口(右下角)--->>远程接口--->> 选择 左下角的 ” + “  进行添加远程接口(服务器带认证的需要添加用户名密码,端口可不填),点击OK完成添加。

Wireshark之远程抓包

3) 选择远程机的对应的网卡接口,添加过滤器条件,开始抓包捕获流量。

Wireshark之远程抓包

此时,可以分析远程机器流量包了。