Wireshark抓包工具的工作原理是什么？相信很多人對網絡抓包不是很了解，下面小編就給大家介紹下wireshark抓包原理。

一、wireshark能通過哪些方式抓取到“網絡數據包“

1、本機電腦
Wireshark可以直接抓取進出本機電腦網卡的網絡流量數據包。這種情況下，wireshark需要綁定或選擇本機的一塊網卡。

2、集線器
用于抓取流量泛洪，沖突域內的數據包，即整個局域網的數據包。

3、交換機
1.端口鏡像
這種方式下，交換機嚴格按照tenlnet表和mac地址表進行轉發數據包。當pc2和pc3通信的時候，默認是pc1是無法抓取數據包的，但是可以通過在交換機上設置策略，即端口鏡像。這樣Pc2和Pc3通信的數據包就被復制一份到連接pc2的那個交換機端口，這樣pc2就可以抓取到Pc2和Pc3的通信數據包了

流量監控

2.ARP欺騙

步驟如下：
（1）PC2想和PC3通信，故而向交換機發送廣播
（2）正常情況下PC1會將此包丟棄掉（因為要找的不是它），但是這里的PC1會進行ARP欺騙，告訴PC2它就是PC2要找的PC3
（3）因為ARP后到優先的特性，PC2很大可能會認為PC1的MAC地址是自己要找的PC3
（4）就這樣，PC2和PC3的通信就變成了PC2和PC1的通信了。
（5）至于后續PC1要不要把數據（可能被修改的數據）交給PC3，那完全取決于PC1的心情。
以上便是局域網ARP攻擊的典型情況。

3.MAC泛洪

這種情況下，PC1沒有端口鏡像的權限，所以它不能直接截取全網的流量，那么該怎么做呢？
（1）PC1發送大量垃圾包，這里產生了大量的MAC地址，導致MAC表爆表
（2）PC2和PC3發出的數據找不到目的地址就會進行全網泛洪，被PC1截取全網流量

二、wireshark整體架構

1.win-/libcap ===> wireshark底層驅動軟件
2.capture ===> 抓包引擎
3.wiretab ===> 將抓來的二進制數據轉換成需要的格式文件
4.core ===> 核心引擎，通過函數將多個模塊連接在一起
5.GTK 1/2 ===> 圖形處理工具