Wireshark 界面初识与基础操作
说实话，我第一次打开 Wireshark 的时候，看着满屏的列表和按钮，脑子是懵的。这玩意儿看着比路由器后台还复杂。但别担心，你只要花 10 分钟摸清它的脾气，后面就顺手了。
这一章，我带你把 Wireshark 的主界面走一遍。咱们不搞什么「首先其次最后」，直接上手操作。
主界面布局：四个区域，各司其职
Wireshark 启动后，默认会看到一个空白的窗口。等你开始抓包，界面就会分成四个主要区域。我习惯叫它们「四块板」。
| 区域 | 位置 | 作用 |
|---|---|---|
| 数据包列表区 | 上方 | 显示所有抓到的数据包，一行一个 |
| 数据包详情区 | 中间 | 展开某个包的协议层级，从物理层到应用层 |
| 数据包字节区 | 下方 | 显示原始十六进制和 ASCII 码 |
| 过滤器工具栏 | 顶部 | 输入过滤表达式，快速定位目标包 |
嗯，这里要注意：数据包详情区是你分析 HTTP 请求的主战场。你点开一个包，展开「Hypertext Transfer Protocol」那一行，就能看到请求方法、URI、状态码这些关键信息。
开始与停止抓包
操作很简单，但有几个坑我得提前跟你说。
开始抓包
- 点击工具栏上的蓝色「鲨鱼鳍」图标（或者按
Ctrl+E）。 - 弹出一个对话框，让你选择要监听的网卡。选你正在上网的那个（比如 Wi-Fi 或以太网）。
- 点击「Start」，抓包就开始了。
停止抓包
点红色的「停止」按钮，或者再按一次 Ctrl+E。抓包停止后，数据包列表不会清空，你可以继续分析。
抓包时的注意事项
- 不要一直开着抓包：流量大的时候，内存会暴涨。我一般只抓需要的几秒钟。
- 先清空再抓：如果你之前已经抓了一堆包，点那个「重启抓包」的绿色按钮（像个循环箭头），它会清空当前列表重新开始。
保存与打开抓包文件
抓完包，你得存下来。不然一关软件，数据就没了。
保存文件
- 点击
File → Save，或者按Ctrl+S。 - 选择保存路径，输入文件名。
- 默认格式是
.pcapng（新版本）或.pcap（老版本）。我建议用.pcapng，它支持更多元数据。
打开文件
直接双击 .pcapng 文件，或者从 Wireshark 里点 File → Open。打开后，所有数据包会重新加载，跟当时抓的时候一模一样。
我记得有一次，客户反馈某个接口偶尔超时。我让他抓了 5 分钟的包发给我。我打开文件，用过滤器一筛，立马找到了那个延迟 3 秒的请求。这就是保存文件的价值——把现场带回来慢慢分析。
基础过滤器使用
过滤器是 Wireshark 的灵魂。没有它，你就像在图书馆里找一本没有书号的书。
Wireshark 有两种过滤器：抓包过滤器和显示过滤器。初学者最容易搞混。我直接告诉你：你平时 99% 的时间只用显示过滤器。抓包过滤器是在抓之前就丢弃数据，用不好容易漏包。
显示过滤器的基本语法
在顶部的过滤器输入框里，直接写表达式。格式是：协议.字段 操作符 值。
| 过滤目标 | 表达式 | 说明 |
|---|---|---|
| 只看 HTTP 流量 | http |
最简单的写法 |
| 只看某个 IP | ip.addr == 192.168.1.1 |
源或目标 IP 都算 |
| 只看 GET 请求 | http.request.method == "GET" |
注意字符串要加引号 |
| 只看状态码 404 | http.response.code == 404 |
数字不用引号 |
| 组合条件 | http and ip.addr == 10.0.0.5 |
用 and/or 连接 |
常用过滤器速查
http.request— 只看所有 HTTP 请求http.response— 只看所有 HTTP 响应tcp.port == 80— 只看 80 端口的流量http.host contains "example.com"— 只看某个域名的请求!http— 排除所有 HTTP 流量（看非 HTTP 的）
你想想看，如果你抓了 1 万个包，手动翻到什么时候？一条过滤器下去，几毫秒就筛出来了。
本章知识体系
下面这张图，帮你把这一章的核心逻辑串起来。从界面布局到操作流程，再到过滤器使用，每一步都是环环相扣的。
说白了，这一章就是让你学会「怎么打开 Wireshark，怎么让它干活，怎么把活干完的结果存下来，以及怎么从一堆数据里快速找到你要的东西」。这些基础操作，后面每一章都会用到。你花 20 分钟练一遍，后面就顺了。