Mac （苹果系统）抓包 详解[转]

娄5735

　　
　　http://hi.baidu.com/chenfalei/blog/item/3c2cd233c22ab054ac4b5f05.html
 
经常搞网络程序得人，需要抓包查看本地发送和接收得一些网络数据，这就需要抓包工具了。
windows下得抓包工具比较多，我用过fiddler2<只能抓取使用微软的WinInet库得程序网络包>，WinNetCap等，
Mac系统下也有几个抓包工具，我用过得一个叫WireShark，这个工具也有Windows版本的，Mac版本的感觉挺好用的。
http://www.wireshark.org/download.html  这里是官网，下载对应版本（OS X xxx<Mac系统专用>）即可。
安装后，如下
 
然后 运行此程序。
出现如下界面

自己翻译一下几个选项的含义，
－－开始抓包到一个文件
－－打开一个抓包记录文件<多用于后续分析>
－－打开一个抓包参数文件<猜的，具体没用过这个>
－－浏览在线帮助文档
 
我一般使用第一个选项，点击第一个图标，出现如下图

 
如果抓包 过滤条件没有填写，则抓取所有的数据包<TCP,UDP等等<好像只要到本网卡的包都能抓到>>,入下图

 
抓包结果，如上图
如果设置了过滤条件，入上图我设置得就是本机和服务器之间得包才会抓取，其他包不作处理。这样就只有a,b机器之间得数据包<更多抓包过滤语法，请参考http://wenku.baidu.com/view/ad550312a21614791711286e.html>，如果是socket连接得，还可以清晰得看到
“三次握手”过程
     a－－－>(syn)------->b,
      b--------->(ack,syn)-------->a,
     a--------->(ack)------------>b
 
以及断开连接时得“四次握手”
至于 syn/ack/push/rst／fin等表示含义，请自己百度。
右下角的是通信协议栈每层的数据包头，在图上看时，从上到下依次为
－－网络数据包
－－链路层包头
－－IP协议包头
-----TCP协议包头
－－应用程序数据<最初得原始数据>
 
这样对网络协议模型也有较好得理解帮助。