wireshark怎么使用，核心流程是选定网卡开始捕获数据包，设置过滤规则筛选目标流量，停止抓包后查看报文详情，解析通信内容，该工具适合网络运维、程序调试人员，不适用于在未授权的局域网、公共网络抓取他人通信数据，这类行为会违反《中华人民共和国网络安全法》相关规定，未经授权抓包存在法律风险。你安装软件后第一步确认网卡，启动捕获，用显示过滤器或捕获过滤器精简数据，再点开数据包分层查看源地址、目的地址、协议字段，最后可以导出报文文件用于复盘分析。捕获过滤器作用是在抓取阶段丢弃无关流量，减少内存占用，显示过滤器只在界面隐藏数据包，原始数据仍保存在缓存内，二者不能混用语法。

wireshark网卡选择与抓包启停

打开软件首页，网卡列表会展示电脑所有可用网络接口，有线网卡、无线网卡、虚拟网卡会分开罗列。你需要点击对应网卡，双击网卡条目或者选中后点击上方鲨鱼鳍图标，就能启动抓包。网卡名称旁的流量波动曲线，用来判断当前接口是否存在网络流量，曲线静止代表该网卡没有数据传输，不要选择这类网卡启动捕获。

抓包运行时，界面会持续滚动新增数据包，点击红色停止按钮终止捕获，停止之后不会清空缓存，你依旧可以对已抓取的报文做筛选和查看。不要长时间持续抓包，大容量数据包会快速占用磁盘空间，内存偏小的设备容易出现软件卡顿、闪退。

wireshark过滤规则编写

过滤类型语法位置示例语句特点
捕获过滤器抓包前输入host192.168.1.100提前过滤，不存储无关包
显示过滤器抓包后输入ip.addr==192.168.1.100仅隐藏，原始报文保留

显示过滤器使用频率更高，输入框在主界面上方，输入正确语法后框体变成绿色，语法错误会显示红色。ip.addr用来限定IP地址，tcp.port或者udp.port用来指定端口，http、dns这类协议名称可以直接输入筛选对应业务流量。你输入ip.addr==192.168.1.100，就能展示所有源IP或者目的IP等于该地址的数据包；输入tcp.port==80，筛选TCP80端口的网页流量。

过滤语句支持逻辑组合，&&代表并且，||代表或者，!代表非。dns&&ip.addr==223.5.5.5，这条语句可以只抓取和阿里DNS服务器交互的域名解析报文。

wireshark数据包解析

主界面分为三层面板，上层是数据包列表，中间是报文详情，底层是十六进制原始数据。

选中任意数据包，中间面板展开分层结构，第一层是链路层，包含MAC地址；第二层网络层，查看IP、TTL；传输层查看TCP序列号、ACK标志；应用层存放业务明文，HTTP请求头、DNS查询内容都在这一层。双击分层条目可以展开折叠信息，鼠标悬停在字段上，会弹出简短说明，降低理解门槛。

TCP流追踪是高频功能。右键TCP数据包，选择追踪TCP流，软件会单独提取这条连接内全部上行、下行文本，网页请求、应答内容会直接展示，适合快速查看应用层交互。

保存抓包文件选择pcapng格式，这是wireshark默认格式，完整保留注释、时间戳信息。pcap格式兼容性更广，但部分扩展字段无法保存。你可以单独导出筛选后的数据包，只保留需要分析的部分，缩小文件体积。

不要在公共场所WiFi抓取其他用户数据包。

抓包分析的常见场景，排查网络延迟、丢包，定位接口通信异常，验证客户端与服务器报文交互逻辑。网络延迟查看报文时间差值，丢包通过TCP重传标记判断，出现Retransmission标记，代表数据包丢失并重发。

软件自带统计菜单，能查看会话、协议分布，快速判断流量占比，定位异常流量来源。协议分级功能可以统计各类协议流量占比，短时间判断网络中主要流量类型。