用途
本技能用于使用 Wireshark 对网络流量进行系统化分析，包括捕获、过滤和检查网络数据包，服务于安全调查、性能优化和故障排查。它支持对网络协议进行系统分析、检测异常，并从 PCAP 文件中重建网络会话。
主要能力
- 实时捕获与离线分析：在指定网络接口上开始实时捕获，或打开 PCAP/PCAPNG 文件进行离线分析。
- 捕获过滤器：在捕获前限制采集范围，例如按主机、端口、网段过滤，或排除特定流量。
- 显示过滤器：对已捕获数据包进行筛选，支持 IP 地址、端口、协议、TCP 标志、内容关键字以及分析类过滤器（如重传、重复 ACK、零窗口、DNS 错误）。
- 流重组：通过 Follow 功能查看 TCP、UDP、HTTP、TLS 流，重建完整会话，支持 ASCII、Hex、Raw 视图。
- 统计分析：提供协议层级、会话、端点、流图、I/O 图等统计视图，用于观察协议分布、通信对、流量随时间变化。
- 安全分析：识别端口扫描、可疑流量、ARP 欺骗、文件下载、DNS 异常等，并可通过导出对象提取 HTTP 文件。
- 专家信息：汇总 Wireshark 自动发现的问题，分为错误、警告、备注、聊天等类别，并给出常见含义与处理方向。
使用方式
- 捕获流量：启动 Wireshark，选择网络接口，点击鲨鱼鳍图标或双击接口开始捕获；使用 Ctrl+E 启停、Ctrl+R 重启、Ctrl+O 打开文件、Ctrl+S 保存。
- 应用捕获过滤器：在捕获前输入如
host 192.168.1.100、port 80、net 192.168.1.0/24、not arp等表达式。 - 应用显示过滤器：在过滤栏输入如
ip.addr == 192.168.1.1、tcp.port == 80、http、dns、tcp.flags.syn == 1、frame contains "password"等表达式，并可用&&、||、!组合。 - 跟踪流：右键数据包，选择 Follow > TCP/UDP/HTTP/TLS Stream，查看重建会话。
- 统计分析：通过 Statistics 菜单查看 Protocol Hierarchy、Conversations、Endpoints、Flow Graph、I/O Graph。
- 安全排查：结合过滤器与统计视图检测端口扫描、异常端口、非信任网段流量、可疑 DNS 查询、大流量传输、ARP 重复地址等。
- 查看专家信息：通过 Analyze > Expert Information 查看自动分析结果。
- 导出：通过 File > Export Specified Packets 保存过滤子集，Export Objects > HTTP 提取文件，Export Packet Dissections 导出文本或 CSV。
适用场景
- 网络故障排查与连接问题诊断
- 安全事件调查
- 恶意软件流量分析
- 性能监控与优化
- 协议学习与教学
限制与注意事项
- 仅可捕获已获授权的网络流量，并依据隐私政策处理捕获数据。
- 避免不必要地捕获敏感凭据，妥善保护包含敏感数据的 PCAP 文件。
- 大型捕获会占用大量内存；高速网络可能丢包；部分协议需要插件才能完整解码。
- 加密流量在没有密钥时内容不可见；部分现代加密套件无法被动解密。
- 建议使用捕获过滤器限制采集范围，长时间捕获时定期保存，优先使用显示过滤器而非删除数据包，并记录分析发现与方法。
常见问题处理
- 未捕获到数据包：确认接口选择正确、具备管理员/root 权限、网卡处于活动状态，必要时关闭混杂模式。
- 过滤器不生效：检查语法（红色表示错误）、字段拼写，可使用表达式按钮选择有效字段，或清空后逐步重建。
- 性能问题：使用捕获过滤器限制流量、拆分大文件、关闭名称解析、关闭不必要的协议解析器。
- 无法解密 TLS/SSL：需获取服务器私钥并在 Edit > Preferences > Protocols > TLS 中配置；临时密钥可从浏览器捕获 pre-master secret。