用途：TShark 是 Wireshark 项目提供的命令行网络协议分析器，用于数据包捕获与分析，服务于安全调查、取证分析和网络排障。资料强调抓包可能暴露敏感信息，必须在获得明确授权并符合窃听与隐私法规的前提下进行。
主要能力：列出与选择网卡（tshark -D、-i eth0、-i any）；基础抓包（sudo tshark -i eth0、-c 100 -w capture.pcap、-a duration:60、-b filesize/files 环形缓冲）；捕获过滤器（-f "tcp port 80"、host/net/port 等 BPF 语法）；显示过滤器（-Y "http.request"、dns、tls.handshake.type==1 等）；协议分析（HTTP、DNS、TLS、SMB/CIFS，配合 -T fields 提取字段）；凭据提取（HTTP Basic、FTP、NTLM/Kerberos、邮件协议）；文件导出（--export-objects http/smb/dicom/imf）；恶意流量检测（C2 心跳、DGA 域名、端口扫描、数据外传）；统计报告（-z io,phs、conv、http,tree、endpoints、expert）。
使用方式：读取已有抓包用 tshark -r capture.pcap 加显示过滤器；实时抓包需 sudo 或授予 cap_net_raw/cap_net_admin 权限。可导出 JSON/CSV/EK 供 SIEM 使用，也可用脚本循环监控并告警。
适用场景：事件响应调查、恶意软件流量分析、凭据泄露检测、网络取证、无线安全评估（需监听模式）。
限制：抓包须有书面授权并遵守 GDPR、CCPA、ECPA 等法规；提取的凭据属高敏感数据，需加密存储、访问控制与留存策略；TLS 解密需提供 SSL 密钥日志；部分功能依赖 GeoIP 等外部数据；资料未提供具体收费、价格与平台支持信息。