wireshark 是开源免费的网络抓包分析软件，入门核心就是学会选择网卡启动抓包，使用过滤语句筛选数据包，看懂数据包分层结构，导出抓包文件，它可以捕获本机网卡收发的所有网络报文，用来排查网络卡顿 接口不通 协议异常 丢包 重传等网络问题，是网络运维 网工 开发人员必备工具，软件支持 Windows Linux macOS 多个系统，抓包原理是把网卡设置成混杂模式，读取经过网卡的原始数据帧，按照 TCP IP HTTP DNS 等协议自动解析成可读内容，新手刚开始会被大量原始数据包淹没，所以入门重点不是全部协议，而是掌握捕获 过滤 查看 保存这四个核心操作，后面再逐步学习 TCP 三次握手 HTTP 请求 DNS 解析这些协议细节，需要注意抓包属于网络数据采集，只能抓自己有权限的网络，不能对他人网络非法抓包，同时很多报文里面会包含账号密码等敏感明文信息，抓包文件要妥善保管。

一 核心界面模块对照表

二 入门详细操作步骤

第一步 安装软件并且启动

从 wireshark 官方网站下载对应系统安装包，Windows 版本安装的时候会附带 WinPcap 或者 Npcap 组件，这个组件是抓包必需驱动，安装向导里面保持默认勾选，安装完成之后打开软件，建议 Windows 系统右键以管理员身份运行，普通权限部分网卡无法开启混杂模式抓包失败。

第二步 选择网卡开始抓包

打开主界面之后，会列出电脑全部网卡，一般上网用的是以太网也就是有线网卡，或者 WLAN 无线网卡，网卡名称后面会有实时流量跳动，确认是正在联网的网卡，双击这个网卡，就立刻开始捕获数据包，也可以选中网卡之后点击左上角鲨鱼鳍图标启动抓包。

第三步 认识数据包列表

启动抓包之后，数据包会持续刷新，每一行就是一个网络报文，可以看到序号 捕获时间 源 IP 地址 目的 IP 地址 协议类型 报文简要信息，不同协议会用不同颜色标记，比如 TCP HTTP DNS，颜色编码可以在设置里面修改。

第四步 使用显示过滤器筛选报文

顶部过滤栏是入门最常用功能，输入过滤表达式，比如 ip.addr == 192.168.1.100 只看这个 IP 相关报文，http 只显示 HTTP 报文，tcp.port == 80 只看 80 端口 TCP 报文，dns 只显示 DNS 域名解析包，输入正确表达式之后背景变绿色，语法错误背景是红色，回车生效，这个是入门必须熟练掌握的操作，用来从海量包里面定位目标流量。

第五步 查看单包分层详情

在数据包列表点击任意一条报文，下方详情窗格会分层展开，从最底层以太网帧，到 IP 层，再到传输层 TCP 或者 UDP，再到应用层 HTTP DNS，点开每一层前面三角符号，可以查看源端口 目标端口 TTL 标志位 请求方法 响应码这些字段，最下方字节窗格就是原始二进制报文。

第六步 停止抓包

不需要继续捕获的时候，点击红色方形停止按钮，停止之后可以继续筛选分析，抓包持续时间越长，生成的 pcap 文件体积越大，长时间抓包会占用大量磁盘空间。

第七步 保存和导出抓包文件

点击文件另存为，保存成 pcapng 格式，这个是 wireshark 默认抓包文件，后续可以再次打开分析，也可以导出成 pcap 旧格式，方便其他抓包软件兼容读取。

第八步 标记和追踪流

选中一条 TCP 报文，右键选择追踪 TCP 流，可以把同一条 TCP 连接所有请求和应答合并成完整会话，这个功能排查 HTTP 接口问题非常好用，可以一次性看到完整请求头 请求体 和服务器返回内容。

三 入门常用过滤表达式清单

ip.src == 192.168.1.5 源 IP 是指定地址

ip.dst == 192.168.1.5 目标 IP 是指定地址

http 筛选 HTTP 协议流量

dns 筛选 DNS 域名解析报文

tcp.flags.syn == 1 筛选 TCP SYN 握手包

udp 筛选 UDP 协议报文

tcp.port == 443 筛选 443 端口流量

not arp 排除 ARP 广播包

四 进阶补充要点

1 无线网卡抓包有局限，普通无线网卡默认只能抓本机收发流量，想要抓其他终端无线报文，需要开启监控模式，大部分普通消费级无线网卡不支持监控模式

2 抓包抓到 HTTPS 加密流量，默认只能看到 IP 端口，无法解密明文内容，需要提前配置 SSL 密钥才能解密，这个属于进阶内容，入门阶段不需要掌握

3 捕获过滤器和显示过滤器不要混淆，捕获过滤器是抓包前生效，语法是 BPF 语法，显示过滤器是抓包之后筛选，语法不一样

4 高流量网络长时间抓包，磁盘很容易写满，建议设置自动滚动文件，或者设置抓包大小上限

5 不要在公司网络随意抓包，很多企业有网络安全制度，抓包操作需要获得授权

【常见问题】

问题 1 wireshark 使用教程入门 为什么抓不到任何数据包

回答 1 wireshark 使用教程入门，抓不到数据包，优先确认网卡选择错误，没有选中正在联网的网卡，或者没有管理员权限，Npcap 驱动安装异常，解决 wireshark 使用教程入门里面这个常见报错。

问题 2 wireshark 使用教程入门 显示过滤器红色是什么意思

回答 2 wireshark 使用教程入门，过滤栏背景红色代表表达式语法错误，绿色代表语法正确，学习 wireshark 使用教程入门的时候，要记住这个判断方式，修正表达式之后才能正常筛选报文。

问题 3 wireshark 使用教程入门 HTTPS 报文可以直接看到明文吗

回答 3 wireshark 使用教程入门，HTTPS 是加密传输，默认抓包只能看到外层 IP 和端口，无法直接看到明文内容，需要导入 SSL 会话密钥解密，属于 wireshark 使用教程入门之后的进阶内容。

问题 4 wireshark 使用教程入门 pcapng 是什么文件

回答 4 wireshark 使用教程入门，pcapng 是 wireshark 默认抓包保存格式，可以保存完整捕获报文，后续重新打开继续分析，学习 wireshark 使用教程入门要熟悉这个抓包文件格式。

【免责申明】

本文内容仅作为 wireshark 使用教程入门学习参考，抓包操作需要遵守网络安全相关法律法规，仅可对自身有权限的网络进行抓包分析，禁止未经授权抓取他人网络流量，抓包文件可能包含敏感信息，妥善保管，因违规抓包产生法律风险由使用者自行承担。