用途：使用 Wireshark 抓取、过滤和分析网络数据包，用于安全调查、性能优化与故障排查，也可从 PCAP/PCAPNG 文件离线分析，重建网络会话、检测异常。
主要能力：支持实时抓包与打开已有捕获文件；抓包前用捕获过滤器限制采集（如 host 192.168.1.100、port 80、net 192.168.1.0/24）；用显示过滤器精确定位流量（如 ip.addr == 192.168.1.1、tcp.port == 80、http、dns、tcp.flags.syn == 1，并用 &&、||、! 组合）。可按 TCP/UDP/HTTP/TLS 流重建会话，查看协议层级、会话、端点、流图与 I/O 图等统计，查看 Expert Information，检测端口扫描、可疑流量、ARP 欺骗与 DNS 异常，并导出对象或部分数据包。
必要用法与前提：需安装 Wireshark，具备可抓包的网络接口；实时抓包需管理员/root 权限；离线分析需 PCAP/PCAPNG 文件。常用快捷键：Ctrl+E 启停抓包、Ctrl+O 打开文件、Ctrl+S 保存、Ctrl+F 查找。典型流程为选择接口抓包或打开文件，应用捕获/显示过滤器，右键 Follow 流，再用统计与专家信息分析。
限制：仅可分析获得授权的网络流量，需遵守隐私政策并妥善保护含敏感数据的 PCAP；大文件占用内存，高速网络可能丢包；无密钥时无法查看加密流量内容；部分协议需插件才能完整解码。