用途：使用 Wireshark 进行网络流量分析，覆盖捕获、过滤、统计与安全调查，适用于故障排查、事件调查、恶意流量分析、性能监控与协议学习。
主要能力：实时捕获与离线读取 PCAP/PCAPNG；捕获过滤器（如 host 192.168.1.100、port 80、not arp）；显示过滤器（ip.addr、tcp.port、协议、TCP 标志、内容搜索、tcp.analysis 系列）；跟踪 TCP/UDP/HTTP/TLS 流；协议层次、会话、端点、流图、I/O 图统计；端口扫描、可疑流量、ARP 欺骗、下载与 DNS 分析；专家信息。
用法：启动 Wireshark 选择网卡开始捕获，使用 Ctrl+E 启停、Ctrl+O 打开文件；用显示过滤器筛选，右键 Follow 跟踪流，Statistics 查看统计，Analyze > Expert Information 查看自动发现；File > Export 导出数据包或 HTTP 对象。
限制：仅可捕获已授权流量；加密流量无密钥不可见；大文件占内存，高速网络可能丢包，部分协议需插件。需管理员/root 权限、协议与 OSI 模型基础。