用途：使用 Wireshark 对网络流量进行抓包、过滤与检查，服务于安全调查、性能优化和故障排查，可系统分析网络协议、检测异常并从 PCAP 文件重建网络会话。
主要能力：实时抓包与 PCAP/PCAPNG 离线分析；捕获过滤器与显示过滤器（按 IP、端口、协议、TCP 标志、内容、分析类字段过滤）；跟踪 TCP/UDP/HTTP/TLS 流；统计功能包括协议层级、会话、端点、流图与 I/O 图；安全分析如端口扫描、可疑流量、ARP 欺骗、下载文件与 DNS 活动检测；专家信息自动发现重传、重复 ACK、零窗口、RST 等问题。
使用方式：启动 Wireshark 选择网卡开始抓包（Ctrl+E 启停，Ctrl+O 打开文件，Ctrl+S 保存）；用捕获过滤器如 host 192.168.1.100、port 80 限制采集；用显示过滤器如 ip.addr == 192.168.1.1、tcp.port == 80、http、dns、tcp.flags.syn == 1 精确定位；右键数据包选择 Follow > TCP Stream 重建会话；通过 Statistics 菜单查看统计；通过 Analyze > Expert Information 查看自动分析；通过 File > Export Objects > HTTP 导出文件。
适用场景：网络连通性排查、安全事件调查、恶意软件流量分析、性能监控与优化、协议学习。
限制：仅可抓取已授权流量，需遵守隐私政策并妥善保护含敏感数据的 PCAP；大文件占用内存高；无密钥时无法查看加密流量内容；高速网络可能丢包；部分协议需插件才能完整解码。TLS 解密需服务器私钥或在 TLS 首选项中配置，现代部分加密套件无法被动解密。
前提：需安装 Wireshark，具备抓包权限（实时抓包需管理员/root），了解 TCP/UDP/HTTP/DNS 等协议、IP 与端口、OSI 模型及常见攻击模式。