Wireshark：开源网络世界的流量解码魔镜

1. Wireshark 简介

• 用途：网络故障排查、协议分析、安全审计、流量监控。

• 核心功能：

  • 实时捕获网络数据包。

  • 支持数千种协议解析。

  • 过滤和分析特定流量。

  • 导出捕获文件（PCAP）。

• 支持平台：Windows、Linux、macOS。

2. 安装 Wireshark

• Linux：
  

  sudo apt install wireshark      # Debian/Ubuntu
  sudo yum install wireshark      # CentOS/RHEL

• macOS：
  

  brew install wireshark

• Windows：
  从 Wireshark 官网 下载安装包（安装时勾选 WinPcap 或 Npcap 驱动）。

3. 基础操作

3.1 启动捕获

1. 打开 Wireshark，选择要监听的网络接口（如 eth0 或 Wi-Fi）。

2. 点击 Start 开始捕获流量。

3. 点击 Stop 停止捕获。

3.2 捕获过滤器

在捕获前设置过滤器，仅捕获特定流量（语法基于 BPF）：

host 192.168.1.1      # 捕获与指定 IP 相关的流量
tcp port 80           # 捕获 TCP 80 端口流量
net 192.168.1.0/24    # 捕获子网流量

示例：

3.3 显示过滤器

在捕获结果中筛选特定流量（语法更灵活）：

ip.addr == 192.168.1.1    # 显示涉及该 IP 的流量
tcp.port == 80            # 显示 TCP 80 端口流量
http.request.method == "GET"  # 显示 HTTP GET 请求
dns                       # 显示所有 DNS 流量

示例输出：

4. 常用协议分析

4.1 HTTP 请求分析

1. 使用显示过滤器 http。

2. 右键数据包 → Follow → HTTP Stream 查看完整会话。

示例输出：

GET /index.html HTTP/1.1
Host: example.com
User-Agent: Mozilla/5.0
...
HTTP/1.1 200 OK
Server: nginx
Content-Type: text/html
...

4.2 TCP 握手（三次握手）

过滤 tcp.flags.syn == 1 或 tcp.flags.ack == 1，观察 SYN、SYN-ACK、ACK 过程。

示例输出：

1. [SYN]     Seq=0
2. [SYN-ACK] Seq=0, Ack=1
3. [ACK]     Seq=1, Ack=1

4.3 DNS 查询

过滤 dns，查看 Query 和 Response。

示例输出：

Domain: www.google.com
Type: A (IPv4)
Response: 142.250.179.196

5. 高级功能

5.1 导出特定流量

1. 筛选目标流量（如 http）。

2. 点击 File → Export Specified Packets，保存为 PCAP 文件。

5.2 统计工具

• Protocol Hierarchy：查看流量协议分布（Statistics → Protocol Hierarchy）。

• Flow Graph：生成会话流程图（Statistics → Flow Graph）。

示例输出：

5.3 着色规则

右键数据包 → Colorize Conversation，按会话类型（TCP/UDP）标记颜色，便于区分流量。

6. 命令行工具（tshark）

Wireshark 的命令行版本，适合自动化分析：

tshark -i eth0 -f "tcp port 80" -w output.pcap   # 捕获 HTTP 流量到文件
tshark -r input.pcap -Y "http.request.method==GET"  # 读取文件并过滤 GET 请求
tshark -r input.pcap -T fields -e ip.src -e http.host  # 提取特定字段

示例输出：

192.168.1.1  example.com
192.168.1.2  google.com

7. 实用技巧

1. 快速定位问题：

   • 过滤 tcp.analysis.retransmission 查找重传包（网络拥塞）。

   • 过滤 http.response.code == 404 查找 404 错误。

2. 时间格式调整：
   点击 View → Time Display Format 修改时间显示格式（如相对时间）。

3. 合并捕获文件：
   File → Merge 合并多个 PCAP 文件。

8. 注意事项

1. 合法使用：未经授权不得监控他人网络流量。

2. 隐私保护：避免捕获敏感信息（如密码明文）。

3. 性能优化：在高流量场景下限制捕获大小（Capture → Options → Limit packet size）。

通过上述操作，你可以快速掌握 Wireshark 的核心功能。实际应用中，结合过滤器和统计工具，能高效分析网络问题。例如：

• 排查网站访问慢：检查 DNS 解析时间、TCP 握手延迟。

• 检测异常流量：过滤 ICMP 或非标准端口流量。