3. Wireshark 抓包环境搭建：安装、插件配置与过滤规则
在 SECS/GEM 通信调试与故障排查中，Wireshark 是最核心的抓包分析工具。本章将指导你完成从 Wireshark 安装、HSMS 协议解析插件配置、过滤规则设置到抓取 SECS 消息的全流程操作。搭建一个正确的抓包环境，是后续 SML 解析与协议分析的基础。
3.1 Wireshark 安装与基础验证
Wireshark 支持 Windows / Linux / macOS 三大平台。以下以 Windows 环境为例，关键步骤同样适用于其他操作系统。
| 步骤 | 操作内容 | 注意事项 |
|---|---|---|
| 1 | 从 Wireshark 官网下载最新稳定版安装包 | 选择 64 位 Windows Installer |
| 2 | 运行安装程序，勾选安装 Npcap（WinPcap 替代） | Npcap 必须安装，否则无法抓包 |
| 3 | 选择安装组件：保留默认全选 | 包含 TShark、USBPcap 等工具 |
| 4 | 安装完成后重启系统 | 确保 Npcap 驱动加载 |
| 5 | 打开 Wireshark，确认网卡列表可见 | 至少显示一个活动网卡 |
验证提示： 打开 Wireshark 后，在网卡列表中选择任意活动网卡，点击“开始捕获”。如果界面底部出现实时滚动的数据包，说明抓包环境已正常工作。
3.2 HSMS 协议解析插件配置
Wireshark 原生不支持 SECS/GEM 协议解析，需要安装第三方插件或配置 Lua 解析器。推荐使用 secs2wireshark 插件，它支持 HSMS 消息的完整解析，包括 Message Header、Data Item 和 SML 格式输出。
3.2.1 插件安装步骤
- 下载插件包： 从 GitHub 仓库获取
secs2wireshark.lua脚本文件。 - 定位插件目录： Wireshark 的
plugins文件夹通常位于C:\Program Files\Wireshark\plugins\或%APPDATA%\Wireshark\plugins\。 - 复制脚本： 将
secs2wireshark.lua放入插件目录。 - 启用插件： 打开 Wireshark →
帮助→关于 Wireshark→插件标签页，确认脚本已加载。 - 配置解析器： 在
编辑→首选项→Protocols中搜索HSMS，设置 TCP 端口（默认 5000）。
端口映射： 如果设备使用非标准端口（如 5001、9999），必须在首选项中添加对应端口，否则 Wireshark 无法识别 HSMS 流量。
3.2.2 插件验证
配置完成后，抓取一段包含 HSMS 通信的数据包。在数据包列表中找到 TCP 端口为 5000 的报文，展开后应看到 SECS Message 或 HSMS Header 解析树。如果显示为 Data 或 [Malformed Packet]，说明插件未正确加载或端口配置错误。
常见问题： 如果插件加载失败，检查 Lua 脚本版本是否与 Wireshark 版本兼容。Wireshark 4.x 需要 Lua 5.4 支持，旧版脚本可能无法运行。
3.3 过滤规则设置
在 SECS/GEM 抓包中，精确的过滤规则可以快速定位目标消息，避免无关流量干扰。以下是最常用的过滤规则分类。
| 过滤类型 | 过滤表达式 | 说明 |
|---|---|---|
| 端口过滤 | tcp.port == 5000 |
仅显示 HSMS 默认端口流量 |
| IP 过滤 | ip.addr == 192.168.1.100 |
过滤特定设备 IP |
| 消息类型过滤 | secs.header.s_type == 0x01 |
仅显示 Select.req 消息 |
| 会话 ID 过滤 | secs.header.session_id == 10 |
过滤指定设备 ID 的消息 |
| 流/功能过滤 | secs.header.stream == 1 and secs.header.function == 1 |
仅显示 S1F1 消息 |
| 组合过滤 | tcp.port == 5000 and ip.addr == 192.168.1.100 |
多条件组合 |
3.3.1 过滤规则保存与加载
对于频繁使用的过滤条件，可以保存为预设：
- 在过滤栏输入表达式后，点击右侧的 书签图标 → 管理显示过滤器。
- 点击 新建，输入名称（如 “HSMS_S1F1”）和表达式。
- 保存后，可通过下拉菜单快速切换。
效率技巧： 使用
secs.header 前缀可以访问所有 HSMS 头部字段，包括 session_id、s_type、stream、function、w_bit 等。在过滤栏输入 secs.header. 后按 Tab 键，Wireshark 会自动补全字段名。
3.4 抓取 SECS 消息的基本操作
完成环境搭建后，即可开始抓取真实的 SECS 消息。以下是一个标准操作流程。
3.4.1 抓包步骤
- 选择网卡： 在 Wireshark 主界面选择连接设备的网卡（如以太网或 Wi-Fi）。
- 设置捕获过滤器： 在捕获选项中使用
tcp port 5000减少无关流量。 - 开始捕获： 点击蓝色鲨鱼鳍按钮启动抓包。
- 触发通信： 在设备端发起 SECS 连接（如发送 Select.req 或 S1F13）。
- 停止捕获： 捕获到足够数据后，点击红色方块停止。
- 应用显示过滤器： 在过滤栏输入
secs仅显示 SECS 消息。
3.4.2 消息识别与验证
在数据包列表中，SECS 消息通常显示为 SECS Message 或 HSMS 协议标签。点击任意消息，在 Packet Details 面板中展开 SECS Message 树，可以看到：
- HSMS Header： 包含 Session ID、S Type、P Type、System Bytes 等字段。
- SECS Body： 包含 Stream、Function、W Bit 以及 Data Items 列表。
- SML 视图： 如果插件支持，可在 Packet Bytes 面板中看到 SML 格式的文本输出。
实战要点： 首次抓包建议同时捕获设备端日志，对比 Wireshark 中的消息顺序与设备日志是否一致。如果出现乱序或丢包，检查网络延迟或 TCP 窗口大小。
3.5 抓包环境架构图
下图展示了完整的抓包环境拓扑，包括设备、主机、Wireshark 组件以及数据流向。
3.6 常见问题与排查
| 问题现象 | 可能原因 | 解决方案 |
|---|---|---|
| 抓不到任何数据包 | 网卡选择错误 / Npcap 未安装 | 检查网卡列表，重新安装 Npcap |
| SECS 消息显示为 Data | HSMS 插件未加载 / 端口未配置 | 检查插件目录，配置 TCP 端口 |
| 消息解析为 Malformed Packet | 插件版本不兼容 / 消息格式异常 | 更新插件，检查设备 HSMS 实现 |
| 过滤规则不生效 | 字段名错误 / 大小写问题 | 使用自动补全功能确认字段名 |
| 抓包性能差 / 丢包 | 缓冲区太小 / CPU 负载过高 | 增大捕获缓冲区，使用捕获过滤器 |
安全提醒： 在生产环境中抓包时，务必确认已获得授权。SECS/GEM 通信可能包含设备配方、工艺参数等敏感数据，抓包文件应妥善保管，避免泄露。