简介《Wireshark网络分析的艺术》配套资源包面向网络管理员、开发人员及安全测试者帮助读者从抓包实操进阶到协议理解与故障定位。资料为rar压缩包共5个文件含2个htm、1个docx、1个txt和1个pdf分别对应辅助页面、笔记、说明与电子书整体约28.8MB结构紧凑适合按需查阅。书中系统讲解Wireshark在Windows、Linux、macOS等平台上的安装与界面操作介绍捕获过滤器和显示过滤器用法并逐层拆解TCP/IP协议栈从Ethernet、WiFi到IP、ICMP再到TCP、UDP及HTTP、FTP等应用层协议。重点场景包括TCP三次握手与挥手、HTTP请求响应细节、延迟和丢包原因分析以及嗅探、中间人攻击、SQL注入等安全威胁检测。配合实例分析、练习与实战案例读者能快速掌握抓包与排错思路增强网络通信整体认知。已有587人学习下载适合希望以精简资料系统入门并提升实战能力的网络技术人群。1. 抓不到包先别怀疑网卡Wireshark 的选择与第一张抓包Wireshark网络分析的艺术说穿了就是两件事把不关心的包丢掉把关心的包讲成一句话。第一次打开它时满屏滚动的帧会让人觉得它是一台永动机可一旦把过滤器调对TCP握手、HTTP请求、重传、乱序这些看不见的问题就全变成明牌了。这篇笔记写给后端开发、运维、网络工程师和测试同学目标是让一台装了 Wireshark 的笔记本真正成为你排查“网页打不开、接口间歇性超时”的听诊器。主线只有一条先用过滤把流量缩小再用三次握手和耗时拆分定位问题最后附一份常见坑清单。适用的人很清楚你不需要背协议栈只需要一套能复现的看包流程。2. 过滤器用对才不会白抓捕获过滤器与显示过滤器我刚开始用 Wireshark 时踩的第一个坑是拿抓包过滤器当显示过滤器用。Wireshark 里有两套过滤语法名字像但行为完全不同。简单说抓包过滤器是在包进入内存之前做减法显示过滤器是抓完以后做筛选。前者影响你能抓到什么后者影响你看到什么。很多“抓不到包”其实不是网卡问题而是抓包过滤器把包拦在门外了。2.1 抓包过滤器在包进来之前做减法抓包过滤器用 libpcap 的 BPF 语法在 Capture Options 对话框里的 Capture Filter 框填写。它工作在驱动层不满足条件的帧根本不会进入 Wireshark 内存所以适合在高吞吐、磁盘有限的场景使用。缺点是一旦没抓到事后不能补救。下面是我常用的三条。# 只看与指定固定 IP 的 HTTP 明文 host 192.168.1.100 and tcp port 80 # 排除广播和组播保留其余流量 not broadcast and not multicast # 抓取带 802.1Q VLAN 标签的帧时按网段收紧 host 192.168.10.0/24 and vlan第一条里 host 是目标 IPand 是逻辑与tcp port 80 表示只保留 TCP 端口 80。写的时候注意是 tcp port 80不是 port tcp 80这种笔误不会报错但结果常为空。第二条用 not 排除广播和组播能大幅减小抓到的文件体积。第三条用了 vlan 关键字对应“抓带 VLAN 的报文”的场景注意 BPF 里写 vlan 时如果后面还要跟 host最好加括号写成 vlan and (host 192.168.10.1)否则优先级会出问题。生产环境我一般只按端口和 IP 收紧不建议再加复杂关键字因为改错了就是白抓一场。如果你想抓固定 IP 的流量抓包过滤器写 host 就能让文件小很多但如果只是临时看一眼我更建议先不加抓包过滤器抓完再用显示过滤器做减法。原因很简单显示过滤器是后悔药抓包过滤器不是。显示过滤对已经进入内存的包生效即使你一开始没想好查什么也能来回切换条件而抓包过滤器一旦设窄未命中的包就永久消失了。2.2 显示过滤器事后倒查的后悔药显示过滤器才是日常分析的主战场。语法是“字段名 运算符 值”字段名可以从过滤栏下拉自动补全。常用运算符包括 、!、、||、!。值得注意的是显示过滤器的字段名是大小写敏感的tcp 小写TCP 大写会报错字段名之间用点号分隔比如 tcp.port、ip.addr、http.request。写错时过滤栏会变红变绿通常表示语法合法。# 同时匹配源或目的 IP 的常用写法 ip.addr 192.168.1.100 tcp.port 80 # 只看 DNS 请求排除 mDNS 干扰 dns !mdns # 只看重传、乱序等异常标记 tcp.analysis.flags # 只看特定 VLAN 的帧 vlan.id 100第一条里 ip.addr 同时匹配源和目的等价于 BPF 里的 host但写成 ip.addr 192.168.1.100 之后还能继续叠加端口条件。第二条用 连接 dns 和 !mdns把局域网里刷屏的 mDNS 排除掉过滤条件会干净很多。第三条 tcp.analysis.flags 是 Wireshark 分析器生成的标记汇总包含重传、乱序、丢包、重复 ACK 等和 tcp.analysis.retransmission 一样是最常用的排障入口。第四条 vlan.id 100 比 BPF 的 vlan 更精确能直接筛出某一条 VLAN 的帧适合对接交换机镜像过来的 trunk 口。显示过滤器不会丢数据改条件只是改变视图这一点和抓包过滤器有本质区别。在过滤栏输入 tcp. 会弹出候选字段输入 tcp.analysis. 能看到 retransmission、out-of-order 等标记右键任意包里的字段选 As Display Filter 可以直接生成过滤条件不用手写字段名这是最快的方式。如果过滤条件需要表达“端口 80 或 443 之一且来源固定”可以用括号改变优先级(tcp.port 80 or tcp.port 443) and ip.addr 192.168.1.100。这种组合比一条条点着看效率高一个量级。2.3 右键 Conversation Filter 与着色规则把一条流单独拎出来看到一条可疑包时最常用的动作不是手写过滤而是右键它选中 Follow TCP Stream把双向包按流编号展开或者选 Conversation Filter TCP在显示过滤栏里自动生成 tcp.stream eq 12 这样的条件。流编号Stream index是 Wireshark 按连接顺序编的同一个 TCP 连接的所有报文共享一个编号用它筛某台固定 IP 下的某一条会话比只按 port 过滤更精确。着色规则是把黑匣子变可视的工具打开 View 里的 Coloring Rules默认配置下重传是红色、乱序是紫色、SYN 是黄色。如果你抓了一个大文件却忘了看颜色等于放弃了 Wireshark 最省力的异常提示。我一般会在抓包结束后先按颜色扫一遍红色扎堆的地方就是慢的入口。同样Analyze 里的 Expert Info 会把协议异常聚合为错误、警告、注意、聊天四类是另一层快速索引。下面这张表是我常用的几条显示过滤表达式可以直接抄显示过滤表达式用途tcp.port 443只看 HTTPS 端口的流量用于过滤无关业务http.request只看 HTTP 请求不含响应tcp.analysis.retransmission只看重传慢网络排查第一步tcp.flags.syn 1只看 SYN 包握手筛查tcp.stream eq 12只看某一条 TCP 流右键自动生成vlan.id 100看指定 VLAN 的帧ip.addr 192.168.1.100固定 IP 的出入流量熟悉两套过滤器之后再抓包心态会好很多。抓包前想清楚要不要设闸抓完再用显示过滤器慢慢切这才是 Wireshark 使用的正常节奏。3. 用 Wireshark 看 TCP 三次握手过滤串、相对序号与 RTT 估算三次握手是 TCP 连接排障的第一站。网页打不开、接口超时第一步永远是看 SYN、SYN-ACK、ACK 三步走到哪里断了。这节从筛选表达式讲起到相对序号、RTT 估算和失败形态每一步都能直接落地到你的抓包文件上。3.1 筛选三次握手的最小表达式三次握手对应 TCP 头的两个标志位组合。下面这组过滤串在 Wireshark 的显示过滤栏里直接可用也是教学里最经典的写法# 第一次握手客户端发出 SYN tcp.flags.syn 1 and tcp.flags.ack 0 # 第二次握手服务端回应 SYNACK tcp.flags.syn 1 and tcp.flags.ack 1 # 第三次握手客户端确认 ACK tcp.flags.ack 1 and tcp.flags.syn 0 # 只看固定端口上的握手过程 tcp.port 443 and tcp.flags.syn 1tcp.flags 是 TCP 标志位字段SYN、ACK、RST、FIN 都对应一个布尔子字段。第一条为什么还要写 ack 0因为单纯写 tcp.flags.syn 1 会把 SYN-ACK 也带进来区分第一次和第二次握手必须同时看两个位。第四条把条件收窄到目标端口 443tcp.port 已经能匹配源和目的端口不需要额外写 tcp.dstport。如果想看某一台固定 IP 发起的握手再叠加 ip.addr 条件即可。用右键跟随流也能看到三次握手。选中任意一个 SYN 包右键 Follow TCP Stream在流的最开头就是三包。注意抓包往往不是从 SYN 开始如果抓包启动时连接已建立你就看不到握手只能看到后续数据。这种情况要么重启客户端触发新连接要么在抓包时用 tcp.flags.syn 1 的显示过滤等下一条握手出现。3.2 关闭相对序号回看 TCP 状态机Wireshark 默认把序列号显示成相对值你看到的 seq0 其实不是真实序号。看三次握手没问题但一旦要看乱序、丢包对序号的影响相对值会掩盖倒退。操作路径是 Edit 菜单的 Preferences进入 Protocols 里的 TCP取消勾选 Relative sequence numbers重新打开 pcap 后seq 列显示的就是绝对序号。注意这个偏好设置对后续所有文件生效如果取消后反而看不明白说明你还没熟悉绝对 ISN但做深度排障必须开。绝对初始序号随机初始化是正常现象不要看到不连续就当异常。tshark -r capture.pcapng -Y tcp.flags.syn 1 -T fields \ -e frame.number -e ip.src -e ip.dst -e tcp.seq -e tcp.ack上面这条命令用 tshark 从 pcap 文件里抽取所有 SYN 包的关键字段。-r 指定输入文件-Y 指定显示过滤器-T fields 表示按字段输出-e 后面接要打印的列。frame.number 是包序号tcp.seq 是序号tcp.ack 是确认号。当抓包文件很大时用命令行抽取比 GUI 滚动更快如果只想看某一条流在 -Y 里再叠加 tcp.stream eq 12 即可。3.3 用时间差估算握手往返时延把时间列切成“Time since previous displayed packet”是估算 RTT 最快的方法。右键任意时间列头选 Column Preferences新增一列并把 Type 设为 Time since previous displayed packet。显示过滤出三次握手后SYN 到 SYN-ACK 之间的差值就是这条流的初始 RTT。这个值包含网卡中断和内核协议栈处理时间但量级足够判断链路。如果差值只有零点几毫秒而应用却超时问题基本不在这条链路如果有几十毫秒甚至更高就要再看重传是否叠加。RTT 大的时候需要确认有没有 SYN 重传如果 SYN 出现多次说明第一个 SYN 没到达对端或对端响应没有被接收中间差额时间会掩盖真实瓶颈。因此建议配合下一节的重传过滤器一起看不要单独拿一两个时间值下结论。3.4 握手失败三种典型现象与取证握手失败的三类现象在 Wireshark 里非常好认。第一类只看到客户端的 SYN 不断重传没有 SYN-ACK。原因多半是目的端口没人监听、中间设备丢弃、或服务端防火墙规则在拦。先用 tcp.port 加 tcp.flags.syn 1 把范围框死再数重传次数。第二类SYN-ACK 已回但客户端没有再发 ACK。重点看客户端本地是否有防火墙拦截或系统连接表是否已满。第三类任何一步收到 RST立即看 RST 包的 ip.addr谁主动断谁基本就是答案。# 所有带 SYN 的重传包 tcp.flags.syn 1 and tcp.analysis.retransmission # 所有 RST 包 tcp.flags.reset 1tcp.analysis.retransmission 是 Wireshark 分析器对重传的标记和序列号重复无关把它叠加到 flags 条件上能得到握手重传清单。RST 包在生产网络里不算少不代表每条连接都建不起来要结合 tcp.stream 看同一流内 RST 前后的状态。如果遇到大量来自不同 IP 的 SYN 但没有后续包且端口分散往往是有主动扫描或攻击流量。通过 Statistics 菜单里的 Endpoints 按 IP 排序能快速圈出源 IP这也是分析 capture.pcapng 类样本找嫌疑 IP 的通用入口。4. 慢网络排查实战从握手到 HTTP 耗时拆分抓包不是为了抓而抓是为了回答一个具体问题慢在哪。一次浏览器访问变慢涉及 DNS、建连、TLS、服务端处理、传输、客户端渲染Wireshark 能拆开看的部分到传输层和 HTTP 为止。这一章把慢网络拆成四段给你一条可以直接照着做的排查路径。4.1 一次请求的四个耗时段先把时间线拆成四段DNS 解析时间、TCP 建连时间SYN 到最后一个 ACK、TLS 握手时间ClientHello 到 ServerFinished、请求到首字节时间HTTP Request 发出到第一个 Response 到达。后两段经常被业务系统当成纯网络问题丢给运维实际多数是服务端处理耗时。前端看的是总耗时网络工程师看的是分段耗时这就是分歧的来源。# 找一条具体 HTTP 请求从响应包里反向定位 http.response and tcp.stream eq 12 # 把一条流的帧和时间全部打出来 tshark -r app.pcapng -Y tcp.stream eq 12 -T fields \ -e frame.time -e tcp.flags -e http.request.uri第一条过滤给的是同一条流里的 HTTP 响应选中响应包后在 Packet Details 里能看到 Request in frame 字段点它就能跳回对应的请求包这是从结果倒追起点的最快路径。第二条 tshark 把每一帧的绝对时间、TCP 标志位和请求 URI 打在同一行配合显示过滤器可以快速定位“哪一次请求花的时间最长”。注意 http.request.uri 只有在包能被识别为 HTTP 时才有值如果是 HTTPS 且没有配置解密这一列会为空。4.2 用 TCP 流图可视化重传与吞吐Statistics 菜单里的 TCP Stream Graph选 Time-Sequence(Stevens)是排查吞吐的头号图表。横轴是时间纵轴是序列号。一条健康下载流的曲线大致线性向上抬出现平台期说明窗口没增长出现向下回退就是重传。配合 Statistics 里的 IO Graph 看每秒钟的包数量与重传数量能直观区分“周期性波动”和“整段缓慢”。这也是标题里“可视化”三个字最值钱的地方人眼对曲线的判断比盯着十六进制快得多。图形态说明直线向上数据连续发送吞吐接近链路上限台阶状每上升一段就平台拥塞窗口被丢包压制序号回退出现重传序列号落后于前序长期平缓要么链路带宽小要么对端处理慢对应到过滤表达式重点看 tcp.analysis.retransmission 和 tcp.analysis.duplicate_ack。重复 ACK 先来、重传随后说明端到端链路上存在丢包。如果只有重复 ACK 没有重传通常只是乱序影响不大。不要一看到 TCP 错误标记就认为是网络故障先看是乱序还是重传两者对业务的影响完全不同。4.3 判断“慢”在链路还是服务端判断套路其实很简单先把请求到达服务端的时刻记为 t1服务端第一个数据包发出的时刻记为 t2。如果 t2 - t1 大且期间没有重传说明请求已经到达应用层是程序处理慢如果 t2 - t1 小但后续数据传得慢重传不断问题在链路上。这一招在用户反馈“接口慢”时最管用。tshark -r app.pcapng -Y tcp.stream eq 12 -T fields \ -e frame.time_relative -e tcp.srcport -e tcp.dstport \ -e tcp.analysis.retransmission -e http.request.uriframe.time_relative 是相对抓包开始的时间单位秒把这一列打出来能看到同一流内部先后帧的时间差不需要人工去 GUI 里数。tcp.analysis.retransmission 为空说明该帧不是重传为 1 则说明被判为重传。http.request.uri 用于把每次请求打在行上适合在慢日志和抓包之间做交叉比对。把这些字段拼在一起慢网络的结论就落在数据上而不是感觉上。我在现场见过不少案例前两步分秒必争第三步卡了八秒前端框架还在转圈。这时截三个时间点握手中、请求发出、首字节到达基本就能分清是用户侧、链路还是服务端的问题。不要一上来就怀疑网卡和带宽Wireshark 不会说谎没抓到包才是网卡问题抓到包说不了话才是配置问题。5. Wireshark 常见问题接口空白、时间错乱与抓包姿势下面几条是新人最常见的翻车点也是我帮人看 pcap 时重复处理的高频问题。每条按现象、原因、解决三步写对照你自己手上的 Wireshark 版本看就行。这些问题大多和版本无关属于操作姿势。5.1 捕获接口空白现象主界面接口列表里什么都没有或者只有内部环回口。原因Windows 上没安装抓包驱动 Npcap 或 WinPcap或者装过旧版 WinPcap 又升级了新版 Wireshark驱动冲突。Linux 下则是当前用户没有抓包权限。解决Windows 到 Wireshark 官网下载安装包安装时勾选安装 Npcap不要同时保留 WinPcap装完重启再打开。Linux 下可以用一行命令把 raw socket 能力赋给 dumpcap之后普通用户启动 Wireshark 也能看到接口。sudo setcap cap_net_raw,cap_net_admineip /usr/bin/dumpcapcap_net_raw 允许创建原始套接字cap_net_admin 允许设置网卡混杂模式eip 表示赋予有效、可继承、允许集合。不同发行版 dumpcap 路径可能不同先执行 which dumpcap 确认路径。如果是在虚拟化环境里跑实验先确认虚拟网卡驱动被识别再谈权限。接口空白时不要去改网卡属性先解决驱动和权限。5.2 抓了半天只见广播和组播现象能看到 ARP、DHCP、mDNS却没有目标服务器的一丁点 TCP 流量。原因最常见的是接口选错抓的是无线网卡或虚拟网卡而不是流量实际经过的网卡第二个是交换机没有做端口镜像在无线网络里AP 隔离会阻止客户端之间互访。解决抓固定 IP 数据时先确认接口。捕获选项里每个接口有实时流量预览选有入站包的那个。如果在办公网环境想抓“别人机器”的包必须先在交换机上配置端口镜像或在链路上接分流器在普通交换机的普通端口看不到别人的流量是正常的不是 Wireshark 坏了。模拟器场景则要按实验拓扑选对应的虚拟网卡别选物理网卡。5.3 时间列看着不像北京时间现象时间列从 0 开始一直累加或者和服务器日志差了 8 小时。原因Wireshark 默认时间显示格式是 Seconds Since Beginning of Capture大家习惯叫相对时间改成绝对时间后又可能遇到 UTC 和本地时区的问题。解决在 View 菜单的 Time Display Format 里选 Date and Time of Day它按操作系统本地时区显示北京时间不需要额外 8。如果你要从 pcap 里取 UTC 时间用于导出就选 UTC Date and Time of Day再自行换算。需要精细看单包间隔时我给时间列再加一列 Time since previous displayed packet性能分析时这一列比绝对时间更重要。很多新手卡在“wireshark 如何调整 time 为北京时间”其实就是切换显示格式不用改系统时区。5.4 忘记开混杂模式现象确认接口正确但还是看不到流向其他设备的帧。原因很多无线网卡驱动会在 Wireshark 启动时强制关闭混杂模式有线网卡在交换机端口下也只能看到广播和自己相关的流量混杂模式并不能突破交换机隔离。解决双击接口进入 Capture Options勾选 Promiscuous Mode如果勾了依然无效检查是不是无线网卡驱动限制换 USB 有线网卡最省事。注意一个误区混杂模式不等于“可以看到所有流量”。在交换网络下要看别人机器流量还是得端口镜像。抓包前先问自己一个问题这块网卡在物理上到底接没接到那段链路上5.5 大文件卡死与 GeoIP 数据库配置现象抓到几分钟就几百 MB打开 pcap 要等好久滚动还卡想识别可疑 IP 归属地却不显示地理位置。原因抓包时没做裁剪Wireshark 没有配置 GeoIP 数据库。解决抓包阶段如果只关心 TCP 端口在抓包过滤器里直接写 tcp port 80 就能避免文件膨胀已经抓下来的大文件用 editcap 按时间切片。# 按 60 秒切成多个小文件 editcap -i 60 big.pcapng slice.pcapng # 只保留每个包前 96 字节减小体积 editcap -s 96 big.pcapng head.pcapng-i 60 是每隔 60 秒切一个文件-s 96 是截断每个包到 96 字节TCP 头加 IP 头通常已经完整保留抓包数据量太大时这个方法最实用。GeoIP 配置在 Preferences 的 Name Resolution 里指定 MaxMind 数据库目录mmdb 文件放一个文件夹即可打开后到 Statistics 的 Endpoints 里能看到 IP 归属地。配合前面按流量排序找嫌疑 IP 的做法能快速判断攻击来源在哪个城市。不同版本偏好设置入口稍有差异找不到就用右上角搜索框输入 GeoIP。6. 顺着包回应用户的疑问Follow Stream、Endpoints 与验证6.1 Follow Stream 与导出对象用户说“我没发过这个请求”时最快答复方式是拿出原始报文。右键包Follow TCP Stream把请求和响应按发送顺序拼成文本在文本窗口能看到 HTTP 头、Content-Type 以及响应体。如果抓包里传输的是文件比如用户下载的安装包还可以用 File 菜单里的 Export Objects HTTP 直接把文件导出比对哈希就能确认传输内容是否被篡改。这一招对“从数据包文件里找黑客 IP”这类分析很关键先 Endpoints 排序再 Follow 嫌疑 IP 的流最后看它到底发了什么。6.2 用 Endpoints 与 Expert Info 收口打开 pcapng 后第一件事我会开 Statistics 里的 Endpoints切到 IPv4按 Total Bytes 从大到小排序。流量最大的 IP 通常是嫌疑对象右键 Apply as Filter 把它选中然后把 Follow Stream 和 Expert Info 叠加异常行为很快显现。Expert Info 如果报大量 TCP Previous segment lost基本能说明链路丢包如果是 Connection reset 刷屏说明有人在主动断连接。这些结论可以直接写进故障报告比“感觉有点卡”有说服力得多。我第一次认真用 Wireshark 时盯着逐包列表看了半小时也说不清网站为什么慢后来养成先开 Endpoints、再 Follow Stream、最后用 Expert Info 佐证的固定流程大多数现场问题十来分钟就能给出结论。现在遇到网络投诉我第一反应是先把四列配好时间、源、目的、Info绝不裸看整张列表。这套习惯帮我省了大量重复劳动希望帮到你。本文还有配套的精品资源点击获取