用途：面向安全事件响应与恶意软件分析，从抓包文件中重建网络事件，识别命令与控制（C2）通信、数据外泄、横向移动及 Web 攻击链，并提取传输的文件、凭据与 IOC。
主要能力：用 capinfos 校验抓包元数据并做完整性哈希；用 tshark 统计协议层级、会话与端点，筛选 DNS、HTTP、可疑端口与信标行为；导出 HTTP/SMB/DICOM/FTP 对象并计算哈希、比对 VirusTotal；跟踪 TCP 流、提取 TLS 证书与 SNI、从明文协议提取凭据；可用 NetworkMiner 自动提取主机清单、文件、凭据与 DNS 记录。
使用方式：先安装 Wireshark 与 tshark（sudo apt-get install wireshark tshark），用 capinfos 与 sha256sum 验证抓包，再用 tshark -r 配合 -Y 过滤、-T fields 输出、-z 统计与 --export-objects 导出对象；NetworkMiner 在 Linux 下需 mono-complete。
适用场景：恶意软件 C2 分析、数据外泄检测、企业内网横向移动追踪、Web 应用攻击重建。
限制：需具备 TCP/IP、HTTP、DNS、TLS 协议基础；大抓包（1GB+）需 8GB 以上内存；加密流量内容不可直接读取，仅能借助 SNI、证书等元数据；VirusTotal 查询需自备 API Key；GeoIP 数据库等资料未提供具体获取方式。