wireshark怎么使用：抓包与过滤实操
wireshark怎么使用，核心操作是先选定正在联网的网卡，双击网卡启动抓包，停止后用显示过滤器精简数据包，再右键追踪TCP流查看完整交互内容；仅局域网环境下才能抓取其他设备流量，无线WiFi在加密模式下只能抓取本机数据，无法获取其他终端的明文数据包，该限制在Wireshark官方用户手册4.10章节有明确说明。
wireshark怎么使用：基础抓包流程
打开软件后，首页列表会列出电脑所有网卡，网卡右侧的流量折线可以帮你判断当前活跃的网络接口，你直接双击对应网卡即可开始抓包。
点击工具栏红色停止按钮终止捕获，随后点击文件菜单选择保存，文件后缀默认使用pcapng格式，方便后续反复打开分析。
启动软件时尽量右键选择以管理员身份运行，否则部分网卡会出现无法捕获数据包的问题；同时关闭VPN软件，VPN会改变网卡路由，造成抓包数据缺失。
wireshark怎么使用：两种过滤器区分
| 过滤器类型 | 生效时机 | 语法规则 | 适用场景 |
| 捕获过滤器 | 抓包之前设置 | libpcap语法，仅支持host、port、and、or等关键词 | 提前过滤无关流量，减少抓包文件体积 |
| 显示过滤器 | 抓包完成后筛选 | 协议字段匹配，支持ip.addr、tcp.port等字段 | 在已抓取的数据包里精准检索目标内容 |
最常用的显示过滤语句：ip.addr==192.168.1.1锁定单个IP，tcp.port==80筛选网页端口流量，http只展示网页请求数据包，在顶部过滤栏输入语句按下回车立即生效。
wireshark怎么使用：数据包内容分析
选中任意一条数据包，下方会分成两层窗口，上层是协议分层详情，下层是原始十六进制字节流。
想要查看一次完整网络请求，右键数据包选择追踪流，再点击TCP流，软件会把整条连接的上行请求与下行响应合并成明文文本，网页接口调试优先使用这个功能。
HTTPS加密流量默认无法直接查看明文，你需要在系统环境变量中配置SSLKEYLOGFILE路径，再在Wireshark协议设置里加载密钥文件，才能解密TLS会话数据。
wireshark怎么使用：常见边界限制
普通家用WiFi开启WPA2加密后，只能捕获本机收发的数据包，无法抓取局域网内其他手机、电脑的网络数据，只有把路由器改成AP网桥模式并开启端口镜像，才能采集全网流量。
Linux系统下普通用户默认没有抓包权限，必须执行usermod-aGwireshark$USER命令把账号加入抓包用户组，重启终端之后才能正常捕获数据包。
wireshark怎么使用：数据包导出操作
先把需要保留的数据包右键标记，再打开文件菜单，选择导出特定分组，勾选仅导出已标记数据包，单独保存目标流量，避免抓包文件体积过大。
导出字节流时可以选择raw原始格式，直接把请求报文保存成文件，用于后续复现接口请求。
