用途
该技能用于使用 Wireshark 执行全面的网络流量分析，对网络数据包进行捕获、过滤和检查，服务于安全调查、性能优化和故障排查。它支持对网络协议进行系统分析、检测异常，并从 PCAP 文件中重建网络会话。
主要能力
- 实时捕获网络流量，并支持打开、保存 PCAP/PCAPNG 文件进行离线分析。
- 使用捕获过滤器在采集前限制数据范围，使用显示过滤器对已捕获数据包进行筛选。
- 按 IP 地址、端口、协议、TCP 标志、内容及分析类条件过滤数据包。
- 跟踪并重建 TCP、UDP、HTTP、TLS 流，查看完整会话内容。
- 提供协议层级、会话、端点、流图、I/O 图等统计分析。
- 支持安全分析，如端口扫描检测、可疑流量识别、ARP 欺骗检测、下载文件检查、DNS 活动调查。
- 提供专家信息，汇总错误、警告、备注和正常会话事件。
- 支持导出指定数据包、HTTP 对象以及数据包解析结果（文本/CSV）。
使用方式
核心工作流分为六个阶段：
- 捕获网络流量：启动 Wireshark，选择网络接口，开始捕获；可使用捕获过滤器限制采集范围，如
host 192.168.1.100、port 80、net 192.168.1.0/24、not arp、host 192.168.1.100 and port 443。 - 显示过滤：对已捕获数据包进行筛选，例如
ip.addr == 192.168.1.1、tcp.port == 80、http、dns、tcp.flags.syn == 1、frame contains "password"、tcp.analysis.retransmission，并可用&&、||、!组合条件。 - 跟踪流：右键数据包，选择 Follow > TCP/UDP/HTTP/TLS Stream，查看重建会话，并在 ASCII、Hex、Raw 视图间切换。
- 统计分析：通过 Statistics 菜单查看协议层级、会话、端点、流图、I/O 图。
- 安全分析：检测端口扫描、可疑流量、ARP 欺骗、下载文件、DNS 异常等。
- 专家信息：通过 Analyze > Expert Information 查看自动发现的问题。
常用快捷键包括：打开文件 Ctrl+O、保存文件 Ctrl+S、开始/停止捕获 Ctrl+E、查找数据包 Ctrl+F、跳转数据包 Ctrl+G、应用过滤器 Enter、清除过滤器 Ctrl+Shift+X。
适用场景
- 网络故障排查与连接问题诊断。
- 安全事件调查。
- 恶意软件流量分析。
- 性能监控与优化。
- 协议学习与教学。
限制与注意事项
- 仅可捕获已获授权的网络流量，并需按隐私政策处理捕获数据。
- 应避免不必要地捕获敏感凭据，并妥善保护包含敏感数据的 PCAP 文件。
- 大型捕获会占用大量内存；高速网络可能丢包。
- 加密流量在无密钥时内容不可见；部分现代加密套件无法被动解密。
- 某些协议需要插件才能完整解码。
- 建议使用捕获过滤器限制采集、定期保存捕获、使用显示过滤器而非删除数据包，并记录分析发现与方法。
前置条件
- 已安装 Wireshark（Windows、macOS 或 Linux）。
- 具备抓包权限的网络接口。
- 用于离线分析的 PCAP/PCAPNG 文件。
- 实时捕获需要管理员/root 权限。
- 需了解网络协议（TCP、UDP、HTTP、DNS）、IP 地址与端口、OSI 模型层次以及常见攻击模式。