📚 课程目录第3章 Wireshark安装与界面介绍

Wireshark 安装与界面介绍

说实话，工欲善其事，必先利其器。咱们要抓 TLS 握手包，第一步就是把 Wireshark 装好。别看这步简单，我见过不少新手因为安装时选错组件、权限没给足，折腾半天连个包都抓不到。今天我就带你从零开始，把 Wireshark 装利索，再把界面摸透。

1. 下载与安装

去官网 wireshark.org 下载对应系统的版本。Windows 用户选 64 位安装包；macOS 用 .dmg；Linux 直接用包管理器：

sudo apt install wireshark  # Ubuntu/Debian
sudo yum install wireshark   # CentOS/RHEL
sudo pacman -S wireshark     # Arch

安装过程中，有个关键选择——组件安装。Windows 上会问你是否安装 Npcap。我个人建议：一定要装，而且要勾选 “WinPcap API 兼容模式”。没有 Npcap，Wireshark 根本拿不到网卡数据。我遇到过有人图省事跳过这一步，结果打开软件只能看离线文件，抓不了实时流量。

小提示：Linux 下安装完成后，记得把当前用户加入 wireshark 用户组，否则必须 sudo 才能抓包。命令：sudo usermod -aG wireshark $USER，然后注销重登。

2. 首次启动与权限避坑

装好之后双击图标，第一件事就是选网卡。但经常有同学反映：为什么我的网卡列表是空的？

嗯，这里要注意：Windows 上要以管理员身份运行 Wireshark（右键 → 以管理员身份运行），否则看不到大多数网卡。macOS 上首次启动会弹出密码框请求安装系统扩展，点击“允许”即可。Linux 如果没加用户组，那就用 sudo wireshark 启动——不过我不推荐长期 sudo 运行，容易产生文件权限问题。

避坑指南：我曾经有一次在虚拟机里抓包，怎么都选不到物理机网卡。后来发现是 VMware 的网络适配器模式设成了 NAT，物理机抓不到虚拟机里的 TLS 握手。改成桥接模式才搞定。所以如果抓不到包，先检查网络拓扑是不是直通的。

3. 主界面布局详解

启动后你会看到一个有点复杂的界面，别慌。我当年第一次看也懵。咱们拆开来看，其实就是四大块。

3.1 菜单栏与工具栏

最上面是菜单栏（文件、编辑、视图、捕获、分析等），下面一排功能按钮。常用的：

蓝色鲨鱼鳍：开始捕获
红色方框：停止捕获
放大镜：查找数据包
小齿轮：捕获选项（选网卡、设过滤）

工具栏右侧还有个“显示过滤器”的输入框，这个咱们后面会重点讲。

3.2 数据包列表区

中间上半部分，默认按时间顺序显示抓到的每个包。每一行就是一个网络包。列包括：编号、时间、源地址、目的地址、协议、长度、信息摘要。TLS 握手包在这里会用 SSL/TLS 或 Client Hello 标识出来。

3.3 数据包详情区

点击列表里的某个包，下半部分左半边会展示这个包的层级结构。TCP/IP 模型全部展开：物理帧（Frame）→ 以太网（Ethernet）→ IP → TCP → TLS。TLS 协议就在最里面一层。我经常在这个区域直接查看“Client Hello”里的 SNI 字段或者 “Server Hello”里的证书信息。

3.4 原始字节区

底部右半边是十六进制加 ASCII 的原始数据。平时不太用到，但当你需要验证某个二进制字段时，这里最准。

区域名称	位置	主要作用
菜单/工具栏	顶部	捕获控制、保存、过滤器设置
数据包列表	中上	显示所有包，支持排序、着色
数据包详情	中下左	协议树展开，TLS字段深度查看
原始字节	中下右	十六进制 & ASCII 原始内容

4. 核心功能区域

除了上面四个主区域，还有几个地方你得熟：

过滤器栏：在工具栏下方，专门用于输入显示过滤表达式。比如输入 tls 就能只看 TLS 相关的包。我习惯在这里用 tls.handshake.type == 1 直接定位 Client Hello。
状态栏：最底部，显示当前捕获文件大小、包数量、是否在捕获中等基本信息。
统计菜单：分析 → 流统计 → 对话，可以看 TCP 会话列表。TLS 握手故障排查时我经常用这个来快速定位含有 Client Hello 的流。

5. 快速上手：捕获第一个 TLS 数据包

咱们来个实战练习：打开浏览器访问 https://www.baidu.com 并捕获。步骤非常简单：

以管理员身份运行 Wireshark
点击捕获工具栏的“小齿轮”图标，选择你当前联网的网卡（比如 Wi-Fi 或以太网）
点击“开始捕获”（蓝鲨鱼鳍）
打开浏览器访问一个 HTTPS 网站
回到 Wireshark，点红色方块停止捕获
在显示过滤器输入 tls 并回车

你马上就能看到 Client Hello、Server Hello、Certificate、Key Exchange 等包。这就是 TLS 握手的全过程。第一个包通常来自客户端，目标端口是 443。我习惯先看一眼 Client Hello 里的 Cipher Suites 列表，看看客户端支持哪些加密套件。

关键点：第一次抓包，如果只看到 TCP 三次握手但没有 TLS 包，八成是以下原因：
过滤条件不对（比如忘了输入 tls）
选的网卡不对（比如选了虚拟机的虚拟网卡）
浏览器使用了 HTTPS-over-QUIC 而非 TLS（新版 Chrome 对谷歌系网站会优先用 QUIC，此时过滤条件应为 quic 或 tls.port == 443）

好了，安装和界面就这些。我第一次用 Wireshark 的时候，光是找 Client Hello 就翻了半天，后来把界面区域记熟了才明白——原来协议详情区就是宝藏。现在你上手应该比我当年快得多。记住，抓包之前先确认权限和网卡，后面分析 TLS 握手才顺滑。