目录1. 安装WSL2终端2. 安装 WSL Linux 发行版3. 安装ubuntu4. 更新系统包5. 安装 Zeek1. 添加zeek官方软件源2. 安装zeek6. 配置环境变量7. 验证安装8. 分析真实流量捕获所有网卡上的流量捕获指定网卡上的流量9. 导出到 Windows 桌面10. 验证zeek是否在抓包11. 进入WSL终端的方法1. 直接搜索2. 使用 Windows 终端3. 在命令提示符/PowerShell 中Zeek原名 Bro是一个开源的强大的网络流量分析框架。核心功能功能说明流量分析解析网络流量提取所有连接记录协议解析支持 HTTP、DNS、FTP、SSH、SSL 等数十种协议日志生成生成结构化的日志文件JSON 或 TSV 格式入侵检测通过脚本检测异常行为和安全威胁文件提取从流量中提取传输的文件在你系统的原生终端安装必须是系统级权限不能是虚拟环境Windows → 用 WSL2Ubuntu 终端Linux → 直接系统终端macOS → 直接终端brew install zeek1. 安装WSL2终端在 PowerShell管理员中运行wsl.exe --install然后重启2. 安装 WSL Linux 发行版查看可用的发行版wsl.exe --list --online3. 安装ubuntu根据个人选择这里选择Ubuntu版本的执行wsl.exe--install-dUbuntu安装完成后会提示你设置用户名和密码。4. 更新系统包运行下面的命令更新sudoaptupdatesudoaptupgrade-y5. 安装 Zeeksudoaptinstall-yzeek这个错误是因为 Zeek 没有在默认的 Ubuntu 软件源中需要先手动添加它的官方仓库。1. 添加zeek官方软件源# 1. 切换到 root 用户避免权限问题sudo-s# 2. 安装必要的工具apt-getinstallcurlwgetgnupg2-y# 3. 下载并添加 Zeek 的 GPG 密钥curl-fsSLhttps://download.opensuse.org/repositories/security:zeek/xUbuntu_22.04/Release.key|gpg--dearmor|tee/etc/apt/trusted.gpg.d/security_zeek.gpg# 4. 添加 Zeek 软件源echodeb http://download.opensuse.org/repositories/security:/zeek/xUbuntu_22.04/ /|tee/etc/apt/sources.list.d/security:zeek.list# 5. 更新软件包列表apt-getupdate2. 安装zeek更新完成后可以用下面的命令安装 Zeek 了apt-getinstallzeek-y安装过程中如果弹出关于 Postfix 邮件服务的配置窗口选择 “Local only” 选项即可。然后会弹出一个关于 Postfix 邮件服务器配置的界面。因为我们用 Zeek 并不需要发送邮件直接使用系统默认的主机名。保持文本框内容不变按键盘的 Tab 键选中下方的 按钮按 Enter 键确认。虽然报错了但没有大问题。 Zeek 已经成功安装了只是 Postfix邮件服务配置出了问题。这不影响 Zeek 的正常使用。6. 配置环境变量为了方便在任何位置都能直接使用 zeek 命令需要将它添加到系统的环境变量中# 查找 zeek 命令的位置find/opt-namezeek2/dev/null# 或ls-la/opt/zeek/bin/# 将 Zeek 的 bin 目录添加到 PATHechoexport PATH/opt/zeek/bin:$PATH~/.bashrc# 使配置生效source~/.bashrc# 退出 root 用户回到普通用户环境exit7. 验证安装现在验证一下 Zeek 是否安装成功zeek--version8. 分析真实流量必须在 WSL 终端里运行 Zeek不能在 Windows 本地终端cmd/powershell运行。捕获所有网卡上的流量打开WSL Ubuntu终端直接运行抓包命令必须加 sudosudozeek-iany执行后WSL 里会生成文件conn.log这就是真实网络流量日志。生成的 conn.log 在运行上面命令的当前目录中打开 WSL默认在 用户家目录/home/你的用户名/conn.log运行后在当前目录出现下面的文件conn.logdns.logntp.logpacket_filter.logreporter.logweird.log查看conn.logcat conn.log 查看全部内容tail -f conn.log (实时查看)Zeek 在抓包过程中就会生成日志文件按 Ctrl C 抓包即停止。捕获指定网卡上的流量在 WSL2 中eth0 就是连接 Windows 主机的虚拟网卡。# 注意WSL 中网卡名称可能不同先用 ip addr 查看ipaddr# 或ifconfig-a# 1. 指定单个网卡最常用sudozeek-ieth0# 2. 指定多个网卡Zeek 会合并分析sudozeek-ieth0-ieth1# 3. 使用 any所有网卡但不推荐用于生产sudozeek-iany# 4. 从 pcap 文件读取最稳定zeek-rcapture.pcap常见 WSL 网卡名称eth0 (WSL2)eth1 (WSL2)lo (本地回环)9. 导出到 Windows 桌面在 Windows 文件管理器地址栏输入\\wsl$回车进入你的ubuntu找到/home → 你的用户名 → conn.log直接复制粘贴到windows桌面即可。10. 验证zeek是否在抓包# WSL终端1启动 Zeeksudozeek-ieth0# WSL终端2生成一些测试流量pingbaidu.com# Zeek 会生成日志文件新开终端查看ls-la*.logtail-fconn.log# 查看连接日志11. 进入WSL终端的方法1. 直接搜索点击 开始 菜单直接输入你安装的发行版名称Ubuntu、Debian或其他你安装的发行版点击搜索结果中的应用图标2. 使用 Windows 终端winR输入cmd点击终端标签页旁边的 下拉箭头 (▼)选择你安装的 Linux 发行版如 Ubuntu如果找不到则手动添加下拉箭头点击设置添加新配置文件选择新建空配置文件填写配置信息启动目录填~或者\wsl$\Ubuntu\home\你的用户名填完之后点击保存。现在可以在下拉箭头那里看到这个Ubuntu终端了。3. 在命令提示符/PowerShell 中输入wsl或bash回车这就是所有内容如果对你有一点点帮助的话可以点赞收藏关注呀