3. Wireshark 基础操作：界面布局、抓包过滤器与显示过滤器、数据包列表与详情面板、着色规则
说实话，很多人学 Wireshark 第一步就栽了。打开软件，满屏的网卡列表、花花绿绿的数据包、密密麻麻的十六进制，直接懵掉。我当年也一样，第一次打开时心里想的是：“这玩意儿是给人用的吗？”
别急。Wireshark 虽然看着复杂，但它的设计逻辑其实很清晰。你只需要掌握几个核心模块，就能把它变成你的“网络显微镜”。这一章，我带你把它的骨架摸清楚。
本章核心目标： 熟悉 Wireshark 的主界面布局，掌握抓包过滤器与显示过滤器的区别与用法，学会从数据包列表和详情面板中提取关键信息，并利用着色规则快速定位问题。
3.1 界面布局：别被满屏信息吓到
Wireshark 的界面其实就五大块。你记住这五个区域，基本就掌握了 80% 的操作。
| 区域名称 | 位置 | 主要作用 |
|---|---|---|
| 菜单栏 | 顶部 | 文件操作、捕获设置、分析工具、统计功能等 |
| 工具栏 | 菜单栏下方 | 快速启动/停止捕获、打开文件、应用过滤器等 |
| 过滤栏 | 工具栏下方 | 输入抓包过滤器或显示过滤器表达式 |
| 数据包列表面板 | 中间主区域 | 显示所有捕获到的数据包，每行一个 |
| 数据包详情面板 | 列表下方 | 展示选中数据包的协议层级解析 |
| 数据包字节面板 | 最下方 | 显示原始十六进制和 ASCII 数据 |
| 状态栏 | 底部 | 显示捕获状态、已捕获包数、配置文件等信息 |
我个人习惯把数据包列表面板拉大一点，因为大部分信息从这里就能看个七七八八。详情面板和字节面板可以缩小，需要深挖协议细节时再展开。
小技巧： 双击面板之间的分隔线，可以快速最大化当前面板。再双击一次就恢复原样。这个操作我用了两年才发现，后悔没早知道。
3.2 抓包过滤器：在数据进来之前就做减法
抓包过滤器，说白了就是“前置过滤”。它在数据包进入 Wireshark 内存之前就帮你筛掉不想要的流量。为什么要用它？
你想想看，在一个千兆网络里，如果不加过滤直接开抓，几秒钟就能产生上万个数据包。你的电脑内存分分钟被撑爆。我曾在一次故障排查中忘了加过滤，结果抓了 5 分钟，文件大小 2 个多 G，打开都费劲，更别说分析了。
抓包过滤器使用 BPF（Berkeley Packet Filter） 语法。核心规则很简单：
# 只抓取特定主机的流量
host 192.168.1.100
# 只抓取特定端口的流量（比如 HTTP）
port 80
# 只抓取特定协议的流量
arp
# 组合条件：抓取来自 192.168.1.0/24 网段的 TCP 流量
src net 192.168.1.0/24 and tcp
# 排除广播和多播流量
not broadcast and not multicast设置位置：在捕获开始前，点击菜单栏 捕获 → 选项，或者直接点击工具栏上的齿轮图标。在弹出窗口的“捕获过滤器”栏里输入表达式即可。
注意： 抓包过滤器一旦设置，在捕获过程中无法修改。如果你想中途换条件，只能停止捕获，重新设置，再开始。所以开始之前想清楚你要抓什么。
3.3 显示过滤器：数据进来之后的“手术刀”
显示过滤器跟抓包过滤器完全不同。它是在数据包已经抓进来之后，帮你从海量数据中快速定位目标包的。说白了，它不删数据，只是“隐藏”你不关心的包。
显示过滤器的语法更丰富，也更灵活。它基于 Wireshark 的协议解析引擎，你可以深入到协议字段级别。
# 只显示 HTTP 协议的包
http
# 显示源 IP 为 192.168.1.1 的包
ip.src == 192.168.1.1
# 显示目标端口为 443 的 TCP 包
tcp.dstport == 443
# 显示 HTTP 请求方法为 GET 的包
http.request.method == "GET"
# 显示 TCP 窗口大小为 0 的包（可能表示接收端缓冲区满）
tcp.window_size == 0
# 组合条件：显示来自 192.168.1.100 的 DNS 查询
ip.src == 192.168.1.100 and dns
# 排除 ARP 协议
!arp显示过滤器还有一个很贴心的功能：输入时会有自动补全和语法提示。你输入 tcp. 之后，它会列出所有可用的 TCP 字段。这个功能我特别喜欢，省去了记字段名的麻烦。
核心区别总结：
- 抓包过滤器： 在捕获前设置，使用 BPF 语法，影响捕获结果，不可中途修改。
- 显示过滤器： 在捕获后设置，使用 Wireshark 显示过滤语法，不影响原始数据，可随时修改。
3.4 数据包列表与详情面板：读懂每一行
数据包列表是 Wireshark 的主战场。每一行代表一个数据包，默认显示以下几个关键字段：
| 字段 | 含义 | 说明 |
|---|---|---|
| No. | 包序号 | 从 1 开始递增，捕获顺序编号 |
| Time | 时间戳 | 默认显示相对时间（从捕获开始算起） |
| Source | 源地址 | IP 地址或 MAC 地址 |
| Destination | 目标地址 | IP 地址或 MAC 地址 |
| Protocol | 协议 | Wireshark 自动识别的协议类型 |
| Length | 包长度 | 以字节为单位 |
| Info | 信息摘要 | 协议解析后的简要描述，非常有用 |
点击任意一个数据包，下方的详情面板会展示该包的协议层级结构。Wireshark 会按照 OSI 模型从下往上解析：
- Frame: 物理层信息，包含帧长度、捕获时间等
- Ethernet II: 数据链路层，源 MAC 和目标 MAC
- Internet Protocol Version 4: 网络层，源 IP 和目标 IP
- Transmission Control Protocol: 传输层，源端口、目标端口、序列号、确认号等
- Hypertext Transfer Protocol: 应用层，具体的协议内容
我曾经遇到一个案例：用户反馈网页打不开，我抓包一看，TCP 三次握手中的 SYN 包发出去后，服务器回了 RST。在详情面板里展开 TCP 层，看到 Flags 字段里 RST 位被置 1。问题瞬间定位——服务器主动拒绝连接。如果没有详情面板的层级解析，光看十六进制数据，我得花多少时间才能找到这个 RST 标志位？
实用技巧： 在详情面板中，右键点击某个字段，选择“作为列应用”，就可以把这个字段添加到数据包列表的列中。比如我经常把 tcp.flags 加成一列，方便一眼看出哪些包有异常标志。
3.5 着色规则：让异常包自己“跳出来”
Wireshark 默认就有一些着色规则。你打开软件开始抓包，看到花花绿绿的颜色，其实就是着色规则在起作用。比如：
- 浅紫色： TCP 流量
- 浅蓝色： UDP 流量
- 浅绿色： HTTP 流量
- 红色： TCP 错误包（如 RST、重传）
- 黑色： TCP 乱序包
着色规则的本质是：当数据包满足某个条件时，就给它的背景或文字上色。这能让你在成百上千个数据包中，一眼就发现异常。
你可以自定义着色规则。路径是：视图 → 着色规则。举个例子，我想把所有 DNS 响应时间超过 100ms 的包标成橙色：
# 新建规则
名称: Slow DNS Response
过滤器: dns.time > 0.1
前景色: 黑色
背景色: 橙色设置好之后，只要 DNS 响应时间超过 100ms，那个包就会变成橙色背景。在排查网络延迟问题时，这个功能简直是神器。
避坑指南： 我曾经把着色规则设得太花哨，结果整个列表五颜六色，反而看不清重点。建议只对关键异常（重传、RST、DNS 超时）设置醒目的颜色，其他保持默认就好。少即是多。
嗯，这一章的内容就到这里。界面布局、两种过滤器、面板操作、着色规则——这些是 Wireshark 的“基本功”。别小看它们，我见过太多人连过滤器都用不明白，拿着原始数据硬看，效率低得可怜。把这些基础打牢，后面的分析才会顺手。