第3章第一次抓包：选对接口、开始与停止、保存与打开

说实话，很多初学者第一次打开 Wireshark 时，面对那一长串网络接口列表，直接就懵了。我当年也一样，盯着屏幕看了五分钟，愣是不知道该点哪个。今天咱们就把这第一步彻底搞明白。

Wireshark 启动后，你会看到一个接口列表。每个接口代表你电脑上的一块网卡——有线网卡、无线网卡、蓝牙网卡等等。选错了接口，就像拿着鱼竿去沙漠钓鱼，啥也抓不到。

核心原则：选那个正在上网的接口。

我个人习惯先看一眼接口名称后面的 IP 地址。如果显示的是 192.168.x.x 或 10.x.x.x，基本就对了。要是显示 0.0.0.0 或者 169.254.x.x，那说明这个接口没拿到有效 IP，抓了也白抓。

小技巧：把鼠标悬停在接口名称上，Wireshark 会显示该接口的详细信息，包括 MAC 地址、IP 地址、子网掩码。这比看名字靠谱多了。

选好接口后，有两种方式开始抓包：

方式	操作	适用场景
双击接口	在接口列表直接双击	最常用，一步到位
菜单启动	Capture → Start，或点击工具栏鲨鱼鳍图标	需要先配置抓包选项时

我建议新手直接用双击。简单粗暴，不会出错。抓包开始后，你会看到数据包像流水一样刷刷地往上滚——嗯，第一次看到这个场面，确实挺震撼的。

注意：抓包会消耗系统资源。如果你在抓包时感觉电脑变卡，别慌，这是正常的。尤其是抓全量流量时，数据量可能非常大。我曾经在抓一个高负载服务器的流量时，一分钟就抓了 2GB——差点把硬盘撑爆。

抓包什么时候停？这取决于你想看什么。我个人习惯是：

抓特定操作：先开始抓包，然后执行操作（比如访问一个网站），操作完成后立刻停止。这样抓到的包最干净，全是你要的。
持续监控：如果只是观察网络状况，可以一直开着。但记得设置 自动停止条件（Capture → Options → Stop Capture Automatically），比如抓 1000 个包后自动停。

停止抓包很简单：点击工具栏的 红色停止按钮，或者菜单 Capture → Stop。快捷键是 Ctrl+E（切换抓包状态）。

避坑指南：我曾经有一次忘了停止抓包，直接去吃饭了。回来发现 Wireshark 已经抓了 8 万个包，电脑风扇狂转。所以，不抓了就赶紧停，别让它空转。

抓到的包如果不保存，关掉 Wireshark 就全没了。保存文件是必须学会的操作。

操作路径：File → Save As，或者按 Ctrl+S。

保存时注意两点：

文件格式选 .pcapng——这是 Wireshark 的现代格式，支持更多元数据。老格式 .pcap 也能用，但功能少一些。
文件名要有意义——别存成 1.pcapng、test.pcapng 这种。我习惯用 日期_场景_备注.pcapng 的格式，比如 20250115_访问百度_正常.pcapng。半年后你翻出来看，一眼就知道当时抓的是什么。

小技巧：如果你只想保存部分包（比如只保留某个 IP 的流量），可以先在 Wireshark 里用过滤条件筛选，然后 File → Export Specified Packets。这样保存的文件更小，分析起来也更聚焦。

保存好的 .pcapng 文件，随时可以重新打开分析。操作很简单：

打开后，你会看到和抓包时完全一样的界面——所有数据包、时间戳、协议信息都原封不动。这就是 .pcapng 格式的好处：它是完整的抓包快照。

注意：如果你把 .pcapng 文件发给别人，对方也需要安装 Wireshark 才能打开。另外，文件里可能包含敏感信息（比如你访问的网站、登录的 IP），分享前记得脱敏处理。

下面这张图帮你理清第一次抓包的完整流程：

说白了，第一次抓包就是这五步：选接口 → 开始抓 → 做操作 → 停止抓 → 保存文件。多练几次，形成肌肉记忆，后面分析协议时才能把精力放在数据包本身，而不是操作上。

总结一下本章重点：

好了，现在你可以打开 Wireshark，亲自抓一次包试试。抓到了第一个 .pcapng 文件，你就正式入门了。

第3章 第一次抓包：选对接口、开始与停止、保存与打开