Wireshark 認識捕獲的分析資料包（及各個分層協議的介紹）
綜述：認識Wireshark捕獲資料包
當我們對Wireshark主視窗各部分作用瞭解了，學會捕獲資料了，接下來就該去認識這些捕獲的資料包了。Wireshark將從網路中捕獲到的二進位制資料按照不同的協議包結構規範，顯示在Packet Details面板中。為了幫助使用者能夠清楚的分析資料，本節將介紹識別資料包的方法。
在Wireshark中關於資料包的叫法有三個術語，分別是幀、包、段。下面通過分析一個數據包，來介紹這三個術語。
一、wireshark三個面板介紹
（在edit->Preference->User info->Layout中可修改面板情況 ）：
1、"Pcaket List"面板 （包列表）
列表中的每行顯示捕捉檔案的一個包。如果您選擇其中一行，該包得更多情況會顯示在"Packet Detail/包詳情"，"Packet Byte/包位元組"面板
在分析(解剖)包時，Wireshark會將協議資訊放到各個列。因為高層協議通常會覆蓋底層協議，您通常在包列表面板看到的都是每個包的最高層協議描述。（在這裡高層是應用層，底層是資料鏈路層）
2、 "Packet Details"面板（包詳情）
"Packet Details/包詳情"面板顯示當前包(在包列表面板被選中的包)的詳情列表。該面板顯示包列表面板選中包的協議及協議欄位，協議及欄位以樹狀方式組織。你可以展開或摺疊它們。
右擊它們會獲得相關的上下文選單。
某些協議欄位會以特殊方式顯示
3、"Packet Byte"面板（包位元組）
通常在16進位制轉儲形式中，左側顯示包資料偏移量，中間欄以16進製表示，右側顯示為對應的ASCII字元 （包資料偏移量是相對第一個包進行偏移）
二、各行資訊如下所示：
Frame：物理層的資料幀概況。Ethernet II：資料鏈路層乙太網幀頭部資訊。
Internet Protocol Version 4：網際網路層IP包頭部資訊。
Transmission Control Protocol：傳輸層的資料段頭部資訊，此處是TCP協議。
Hypertext Transfer Protocol：應用層的資訊，此處是HTTP協議。
下面分別介紹下，幀、包和段內展開的內容。如下所示：
1、物理層的資料幀概況
Frame 5: 268 bytes on wire (2144 bits), 268 bytes captured (2144 bits) on interface 0 #5號幀，線路268位元組，實際捕獲268位元組
Interface id: 0 #介面id
Encapsulation type: Ethernet (1) #封裝型別
Arrival Time: Jun 11, 2015 05:12:18.469086 中國標準時間 #捕獲日期和時間
[Time shift for this packet: 0. seconds]
Epoch Time: 1402449138.469086 seconds
[Time delta from previous captured frame: 0.025257 seconds] #此包與前一包的時間間隔
[Time since reference or first frame: 0.537138 seconds] #此包與第一幀的時間間隔
Frame Number: 5 #幀序號
Frame Length: 268 bytes (2144 bits) #幀長度
Capture Length: 268 bytes (2144 bits) #捕獲長度
[Frame is marked: False] #此幀是否做了標記：否
[Frame is ignored: False] #此幀是否被忽略：否
[Protocols in frame: eth:ip:tcp:http] #幀內封裝的協議層次結構
[Number of per-protocol-data: 2]
[Hypertext Transfer Protocol, key 0]
[Transmission Control Protocol, key 0]
[Coloring Rule Name: HTTP] #著色標記的協議名稱
[Coloring Rule String: http tcp.port == 80] #著色規則顯示的字串
2、資料鏈路層乙太網幀頭部資訊
Ethernet II, Src: Giga-Byt_c8:4c:89 (1c:6f:65:c8:4c:89), Dst: Tp-LinkT_f9:3c:c0 (6c:e8:73:f9:3c:c0)
Destination: Tp-LinkT_f9:3c:c0 (6c:e8:73:f9:3c:c0) #目標MAC地址
Source: Giga-Byt_c8:4c:89 (1c:6f:65:c8:4c:89) #源MAC地址
Type: IP (0x0800)
3、網際網路層IP包頭部資訊
Internet Protocol Version 4, Src: 192.168.0.104 (192.168.0.104), Dst: 61.182.140.146 (61.182.140.146)
Version: 4 #網際網路協議IPv4
Header length: 20 bytes #IP包頭部長度
Differentiated Services Field: 0x00 (DSCP 0x00: Default; ECN: 0x00: Not-ECT (Not ECN-Capable Transport)) #差分服務欄位
Total Length: 254 #IP包的總長度
Identification: 0x5bb5 (23477) #標誌欄位
Flags: 0x02 (Don't Fragment) #標記欄位
Fragment offset: 0 #分的偏移量
Time to live: 64 #生存期TTL
Protocol: TCP (6) #此包內封裝的上層協議為TCP
Header checksum: 0x52ec [validation disabled] #頭部資料的校驗和
Source: 192.168.0.104 (192.168.0.104) #源IP地址
Destination: 61.182.140.146 (61.182.140.146) #目標IP地址
4、傳輸層TCP資料段頭部資訊
Transmission Control Protocol, Src Port: 51833 (51833), Dst Port: http (80), Seq: 1, Ack: 1, Len: 214
Source port: 51833 (51833) #源埠號
Destination port: http (80) #目標埠號
Sequence number: 1 (relative sequence number) #序列號（相對序列號）
[Next sequence number: 215 (relative sequence number)] #下一個序列號
Acknowledgment number: 1 (relative ack number) #確認序列號
Header length: 20 bytes #頭部長度
Flags: 0x018 (PSH, ACK) #TCP標記欄位
Window size value: 64800 #流量控制的視窗大小
Checksum: 0x677e [validation disabled] #TCP資料段的校驗和