A. wireshark 抓包数据如何分析
行为特征：地址连续
猜测：192.168.10.1正在进行地址扫描。
作为路由器自身是不需要做地址扫描的，这里有两种可能。
一：来自外部网络，正在对内网的IP进行扫描，这要看路由器采用的什么转换机制。进行解决
二：内网中有机器伪装成路由器08:10:17:23:28:14 - 192.168.10.1在进行扫描。如果上网可以通，只是速度慢，应该不可能这个对应关系都被伪装了。确认一下这个MAC - IP 对应关系可查出伪装主机。
另，网速慢跟这个关系不大，ARP包本身不大，也不需要占用路由器资源，除非扫描太过频繁。否则应查找其他原因。
B. 分析抓包数据
捕获的数据帧是从数据链路层开始的，
typedef struct tagDLCHeader /*以太网数据帧头部结构*/
{
unsigned char DesMAC[6]; /* destination HW addrress */
unsigned char SrcMAC[6]; /* source HW addresss */
unsigned short Ethertype; /* ethernet type */
} DLCHEADER, *PDLCHEADER;
目的mac地址：00 D0 F8 F2 D5 48
源mac地址：00 13 D3 2A 3A 61
协议类型：0x0800(ip协议)，从08 00之后开始是ip报文，
根据ip协议结构，
typedef struct _IPHeaer //20个字节
{
UCHAR iphVerLen; //版本号和头长度(各占4位)
UCHAR ipTOS; //服务类型
USHORT ipLength; //封包总长度，即整个IP报的长度
USHORT ipID; //封包标识，惟一标识发送的每一个数据报
USHORT ipFlags; //标志
UCHAR ipTTL; //生存时间，就是TTL
UCHAR ipProtocol; //协议，可能是TCP、UDP、ICMP等
USHORT ipChecksum; //校验和
ULONG ipSource; //源IP地址
ULONG ipDestination; //目标IP地址
}IPHeader,*PIPHeader;
可分析如下：
0x45中包含了版本号和ip头长度，各占4位
0x00为服务类型
0x003c为ip数据包总长度（包含ip头,tcp\udp\icmp等头和真实数据）
0x1180封包标识
0x0000标识
0x80 TTL(生存时间)
0x01 协议类型（1为ICMP）
0xc4b1 校验和
0x0a0b2879 源ip(转为字符串:10.11.40.121)
0x0a0b2801 目的ip(转为字符串:10.11.40.1)
之后的为icmp头和数据，可以自己去分析，下面是icmp的结构
typedef struct _ICMPHeader
{
UCHAR icmp_type; //消息类型
UCHAR icmp_code; //代码
USHORT icmp_checksum; //校验和
//下面是回显头
USHORT icmp_id; //用来惟一标识此请求的ID号，通常设置为进程ID
USHORT icmp_sequence; //序列号
ULONG icmp_timestamp; //时间戳
}ICMPHeader,*PICMPHeader;
C. 如何对抓到的数据包分析
首先我们打开wireshark软件的主界面，在主界面上选择网卡，然后点击start。wireshark即进入抓包分析过程。在本篇我们选择以太网，进行抓包。接下来再界面我们可以看到wireshark抓到的实时数据包。我们对数据包的各个字段进行解释。
1.No:代表数据包标号。
2.Time：在软件启动的多长时间内抓到。
3.Source：来源ip。
4.Destination: 目的ip。
5.Protocol：协议。
6.Length:数据包长度。
7.info：数据包信息。接下来再界面我们可以看到wireshark抓到的实时数据包。我们对数据包的各个字段进行解释。接下来我们点击解析后的某一条数据可以查看数据包的详细信息。在抓包过程中，我们可以点击图标启动或者停止。来启动或者停止抓取数据包。
D. 如何分析数据包判断网络故障
从网络抓包是可以分析出很多东西，其中一项就是用来做排错。
根据个人的实际经验，用抓包来排错有分为几种情况：
1、通过数据包的有无来判断故障，一般用于防火墙策略调试等场景，在防火墙上进行抓包，或交换机上镜像抓包，或者这交换机内嵌抓包功能。这种抓包无需进行过多分析。
2、网络故障，已经明确网络设备配置不存在问题的情况下，通过抓包来判断问题，我把这主要分为行为判断和协议判断。
1）最常见的是通过抓包数量来判定网络行为的是否正常，比如ARP病毒爆发一定会收到大量ARP数据包；攻击行为也很多时候体现为大量数据包（但是一般判断这种攻击行为抓包不会放在第一步，只是在确定攻击特征时需要抓包）；当然还有其他很多情况，适用于通过抓包数量来分析的。
2）通信质量判断，抓包存在大量的重传，此时通信质量一般都不太好。另外有视频和语音的应用场景中，有时需要通过时间统计来判断通信毛刺，来分析定位视频和语音通信质量问题。
3）协议判断，比如win2008和win2003通信时因为window
scale不兼容，导致窗口过小，而程序设计适当时，通信变动极其缓慢。这些判断都是建立在抓包协议分析的基础上的；另外不同厂商SIP通信对接也有可能会用到协议分析，其中一种方式就是抓包分析。
综合而言，协议分析时要求比较高，很多人都可以说把基础学好，但是对应实际工作多年的人，TCP/IP的协议学习一般都是多年前的事情，而且不同操作系统，对于协议栈的实现是有区别的，这部分析的工作一般都是出现问题后有针对性查资料来解决的。
说了这么多，针对抓包分析我个人的意见是：排查问题关键是思路，真的用到协议层判断的场景相对而言还是比较少，初学这不必过分纠结。但是从另外一个方面来看，能深入协议层进行排错的网工，都是具备钻研精神的，属于高级排错的一部分。
E. 如何通过wireshark进行抓包的分析
Wireshark是一个网络协议检测工具，支持Windows平台和Unix平台，我一般只在Windows平台下使用Wireshark，如果是Linux的话，我直接用tcpmp了，因为我工作环境中的Linux一般只有字符界面，且一般而言Linux都自带的tcpmp，或者用tcpmp抓包以后用Wireshark打开分析。
tcpmp是基于Unix系统的命令行式的数据包嗅探工具。如果要使用tcpmp抓取其他主机MAC地址的数据包，必须开启网卡混杂模式，所谓混杂模式，用最简单的语言就是让网卡抓取任何经过它的数据包，不管这个数据包是不是发给它或者是它发出的。
F. 如何通过使用fiddler对安卓系统设备抓包总结
目前有以下2种抓包方式
1. 通过fiddler抓包真机
好处是安卓手机不用root，简单设置代理，并可以在电脑端检测抓包数据。只能抓获wifi，不同抓包3g/2g运营商的数据
2. 通过tcpudmp工具抓包
可以检测真机，也可以模拟器。可以wifi，也可以3g/2g
必须root，可以安装在手机内，然后电脑端开启检测或者停止检测，抓到的数据包*.cab再拷贝到电脑，通过用Wireshark分析数据包。
本文主要总结fiddler抓包：
首先说明通过fillder抓包的网络数据包只能是http或者https协议，所以手机端有些app通过tcp/udp等协议传输的数据是无法捕获的。
1. 设置fillder，监听8888端口，允许远程连接
fillder--->tools—>fillder options2.查看电脑的ip dos命令行->cmd
因为本机使用的无限局域网1，所以应当查看标记处的ip，为 49.65.48.242，等会要在手机端设置ip为这个。
3.设置手机wifi代理参数
连接手机到电脑，打开已经连接的wifi，本机器用的wifi名字是myappweb
点击 ，进入设置代理参数。
代理设置为手动，并将刚才的ip填写进去，8888端口是fillder刚才设置的8888端口
点击确定，下面就可以检测手机端数据了。
测试，手机端打开“天猫”的客户端
红的地方就是抓包得到的数据，下面就可以分析数据了。
G. 小黄鸟抓包怎么看懂数据信息
摘要 对于标准的Http返回，如果标明了Content-Encoding:Gzip的返回，在wireshark中能够直接查看原文。由于在移动网络开发中，一些移动网关会解压显式标明Gzip的数据，以防止手机浏览器得到不能够解压的Gzip内容，所以，很多移动开发者选择了不标准的Http头部。也就是说，Http返回头部并没有按标准标Content-Encoding:Gzip属性。这样就导致在wireshark中无法直接查看。
H. 如何通过wireshark进行抓包的分析
启动wireshark后，选择工具栏中的快捷键（红色标记的按钮）即可Start a new live capture。
主界面上也有一个interface list（如下图红色标记1），列出了系统中安装的网卡，选择其中一个可以接收数据的的网卡也可以开始抓包。
在启动时候也许会遇到这样的问题：弹出一个对话框说 NPF driver 没有启动，无法抓包。在win7或Vista下找到C: \system\system32下的cmd.exe 以管理员身份运行，然后输入 net start npf，启动NPf服务。
重新启动wireshark就可以抓包了。
抓包之前也可以做一些设置，如上红色图标记2，点击后进入设置对话框，具体设置如下：
Interface：指定在哪个接口（网卡）上抓包（系统会自动选择一块网卡）。
Limit each packet：限制每个包的大小，缺省情况不限制。
Capture packets in promiscuous mode：是否打开混杂模式。如果打开，抓 取所有的数据包。一般情况下只需要监听本机收到或者发出的包，因此应该关闭这个选项。
Filter：过滤器。只抓取满足过滤规则的包。
File：可输入文件名称将抓到的包写到指定的文件中。
Use ring buffer： 是否使用循环缓冲。缺省情况下不使用，即一直抓包。循环缓冲只有在写文件的时候才有效。如果使用了循环缓冲，还需要设置文件的数目，文件多大时回卷。
Update list of packets in real time：如果复选框被选中，可以使每个数据包在被截获时就实时显示出来，而不是在嗅探过程结束之后才显示所有截获的数据包。
单击“OK”按钮开始抓包，系统显示出接收的不同数据包的统计信息，单击“Stop”按钮停止抓包后，所抓包的分析结果显示在面板中，如下图所示：
为了使抓取的包更有针对性，在抓包之前，开启了QQ的视频聊天，因为QQ视频所使用的是UDP协议，所以抓取的包大部分是采用UDP协议的包。
3、对抓包结果的说明
wireshark的抓包结果整个窗口被分成三部分：最上面为数据包列表，用来显示截获的每个数据包的总结性信息；中间为协议树，用来显示选定的数据包所属的协议信息；最下边是以十六进制形式表示的数据包内容，用来显示数据包在物理层上传输时的最终形式。
使用wireshark可以很方便地对截获的数据包进行分析，包括该数据包的源地址、目的地址、所属协议等。
上图的数据包列表中，第一列是编号（如第1个包），第二列是截取时间（0.000000），第三列source是源地址（115.155.39.93），第四列destination是目的地址（115.155.39.112），第五列protocol是这个包使用的协议（这里是UDP协议），第六列info是一些其它的信息，包括源端口号和目的端口号（源端口：58459，目的端口：54062）。
中间的是协议树，如下图：
通过此协议树可以得到被截获数据包的更多信息，如主机的MAC地址（Ethernet II）、IP地址（Internet protocol）、UDP端口号（user datagram protocol）以及UDP协议的具体内容（data）。
最下面是以十六进制显示的数据包的具体内容，如图：
这是被截获的数据包在物理媒体上传输时的最终形式，当在协议树中选中某行时，与其对应的十六进制代码同样会被选中，这样就可以很方便的对各种协议的数据包进行分析。
4、验证网络字节序
网络上的数据流是字节流，对于一个多字节数值（比如十进制1014 = 0x03 f6），在进行网络传输的时候，先传递哪个字节，即先传递高位“03”还是先传递低位“f6”。 也就是说，当接收端收到第一个字节的时候，它是将这个字节作为高位还是低位来处理。
下面通过截图具体说明：
最下面是物理媒体上传输的字节流的最终形式，都是16进制表示，发送时按顺序先发送00 23 54 c3 …00 03 f6 …接收时也按此顺序接收字节。
选中total length：1014， 它的十六进制表示是0x03f6， 从下面的蓝色选中区域可以看到，03在前面，f6在后面，即高字节数据在低地址，低字节数据在高地址（图中地址从上到下从左到右依次递增），所以可知，网络字节序采用的是大端模式。
I. 抓包怎么分析 抓包抓到的数据，怎么分析
1, 取决于你抓包的层级。一般来说都是与网站之间交换的，未经格式化的较为数据。
2, 可以从网卡抓取本机收发的数据，也有人把从浏览器或其它工作在顶层的软件获得的数据，成为抓包。
3, 如果你所在的局域网比较原始，你还是可以尝试从网卡中获得广播的数据。
4, 分析有现成的软件，主要针对无法加密的部分展开，即发送、接受方地址、时间、路径、内容体积等进行。不涉及内容的情况下是典型的被动数据分析。