用途：按上游工作流执行 Wireshark 网络流量分析，包括捕获、过滤和检查数据包，用于安全调查、性能优化与故障排查，并支持从 PCAP 文件重建网络会话。
主要能力：
- 抓包与捕获控制：启动、停止、重启抓包，打开或保存 PCAP；支持捕获过滤器，如 host 192.168.1.100、port 80、net 192.168.1.0/24、not arp、host 192.168.1.100 and port 443。
- 显示过滤器：IP、端口、协议、TCP 标志、内容与分析过滤，例如 ip.addr == 192.168.1.1、tcp.port == 80、http、dns、tcp.flags.syn == 1、frame contains "password"、tcp.analysis.retransmission，并可用 &&、||、! 组合。
- 流跟踪：右键 Follow 选择 TCP/UDP/HTTP/TLS Stream，切换 ASCII、Hex、Raw 视图。
- 统计分析：Protocol Hierarchy、Conversations、Endpoints、Flow Graph、I/O Graph。
- 安全分析：检测端口扫描、可疑流量、ARP 欺骗、文件下载、DNS 异常，并查看 Analyze > Expert Information。
使用方式：
- 首次使用先查看 metadata.json 确认仓库、分支、提交与导入路径；来源审查查看 ORIGIN.md；执行从 SKILL.md 开始。
- 示例：HTTP 凭据分析可过滤 http.request.method == "POST" 并 Follow HTTP Stream；恶意 C2 检测可过滤 dns 与 ip.dst == SUSPICIOUS_IP；故障排查可过滤 ip.addr == WEB_SERVER 并查看 Service Response Time 与 tcp.analysis.retransmission。
限制： 仅可捕获已授权流量，遵循隐私政策，避免不必要捕获敏感凭据，妥善保护 PCAP。大文件占内存，加密流量无密钥不可见，高速网络可能丢包，部分协议需插件。抓不到包时检查接口、权限、网卡状态，必要时关闭混杂模式；过滤器无效时检查语法与字段名；TLS 解密需服务器私钥或预主密钥，现代密码套件不一定能被动解密。
注意：该技能本身为上游工作流的打包层，用于保留来源与支持文件，不额外说明书未提供的功能、价格或平台。