Wireshark：网络抓包分析使用教程

简介

Wireshark（旧称 Ethereal）是一个开源的网络数据包分析器，可实时从网络接口捕获数据包中的数据，并尽可能详细地显示封包内容供用户检查，支持多协议。它要解决的问题很直接：网络通信本身看不见摸不着，一旦出现连接异常、协议行为与预期不符，或需要做安全审计，就必须把线路上的真实报文取出来逐字段核对。适合网络运维、开发调试、安全审计人员以及协议学习者使用。其核心优势在于通过 libpcap/WinPcap 这类库直接与网卡打交道、屏蔽底层机器差异，同时用图形界面把分层协议字段完整呈现出来。

核心功能

• 实时捕获：打开软件后直接进入「网卡选择界面」，选中 WLAN 或有线网卡即可开始抓包，抓到的数据包按列表逐条排列，可随时停止。
• 封包详情展示：选中某个数据包后，按协议分层树展开，尽可能显示最为详细的网络封包资料，便于逐字段查看内容。
• 过滤规则：提供 IP/端口过滤等即用型常用规则，可只保留关心的主机或端口流量，把海量报文缩小到可读范围。
• 数据流追踪：支持追踪数据流，把同一会话的往返内容拼成可读流；分析异常时可配合 tcp.flags.reset==1 过滤出大量服务端发来的 reset 报文，判断是否存在异常 reset 现象。
• 协议解析与修正：内置多协议解析；当分组被错误解析时，可在该分组上右键选择「协议首选项」，disable 错误的协议，直至以正确的协议解析，也可到编辑→首选项中调整。
• HTTPS 解密与实战分析：入门到实战的教程会先讲基础功能，再实战分析几个常见网络协议，最后介绍使用 Wireshark 解密 HTTPS。
• 网络名称解析开关：可关闭网络名称解析以排除干扰，用于排查读取捕获文件时的卡顿问题。

使用场景

• 故障诊断：网络数据包抓取广泛用于故障诊断场景，抓一次包即可看到真实的握手、重传与断开过程，比只看结果状态更可核对。
• 安全审计：作为安全审计的取证手段，结合 ARP 劫持、MAC 泛洪等原理分析，可观察异常报文在链路上的实际表现。
• 追踪异常流：客户端请求过滤后出现大量服务端 reset 报文时，用 tcp.flags.reset==1 锁定异常抓包，怀疑服务端有设备存在异常 reset 现象并继续定位。
• 协议学习与实战：按教程顺序先掌握基础功能，再实战分析几个常见网络协议，并练习解密 HTTPS，形成从入门到实战的完整路径。
• 不同网络环境抓包：可在本机、集线器、交换机三种环境下抓包，环境不同，能抓到的流量范围也不同。
• 与命令行工具配合：tcpdump 或 Wireshark 都可用于抓包，排障时可先用命令行快速取包，再用图形界面细看字段。

安装与获取步骤

1. 前往官方地址 https://www.wireshark.org/ 获取软件，具体版本与平台支持以官方页面为准；FAQ 亦建议使用最新版本的 Wireshark。
2. 按官方流程完成安装后启动程序，安装与主界面介绍是新手教程的第一部分内容。
3. 打开 Wireshark 后会直接进入「网卡选择界面」，WLAN 是连接无线的网卡，选中承载目标流量的那块网卡。
4. 双击网卡或点击开始按钮进入抓包状态，产生需要分析的业务流量，再点击停止，随后在列表中点选数据包查看分析内容。
5. 在过滤栏输入 IP/端口过滤规则收窄结果；需要看整段会话时使用数据流追踪，需要修正解析时右键分组进入协议首选项。

与同类方案的区别

Tcpdump 与 Wireshark 都能抓包，阿里云文档专门整理了两者抓包的常见问题处理；Wireshark 的差异在于图形界面与分层字段展示，适合逐字段核对与协议学习，tcpdump 更偏命令行快速取包。浏览器抓包则是另一条路径，只覆盖浏览器产生的流量，而 Wireshark 抓的是网卡上的真实报文，能看到传输层及以下的细节。底层实现上，Wireshark 使用 libpcap/WinPcap 库提供从多种网络接口类型（如 Ethernet、Token Ring）捕获包的通用接口，以此隐藏底层机器依赖性。

注意事项

• 抓不到包先查权限与驱动：需要授予捕获权限；Windows 上可「以管理员身份运行 cmd」，输入命令 net start npf，启动 WinPcap Packet Driver (NPF) 服务，出现服务已启动成功的提示后再试。
• 协议显示不对时不要硬读：在被错误解析的分组上右键，选择协议首选项，disable 错误的协议，直至以正确的协议解析，也可到编辑→首选项里调整对应协议设置。
• 读取捕获文件卡住时，先关闭网络名称解析；若关闭后仍然卡住，可能与 Wireshark 某个协议解析器（dissector）的缺陷有关，可换用其他抓包文件或更新版本验证。
• 抓包前确认网络接口配置：了解网卡处于何种环境（本机、集线器、交换机）会直接决定能看到哪些流量，选错网卡会出现「抓到了但没有目标流量」的情况。
• 解决捕获错误需要系统的策略和有针对性的干预措施，常见方向包括使用最新版本、检查网络接口配置与权限授予，逐项排除后再定位。
• 本页涉及的版本号、参数与平台支持细节，均以官方页面 https://www.wireshark.org/ 及官方 FAQ（https://www.wireshark.org/faq）为准。