抓包工具概述：Wireshark、tcpdump、tshark
做网络协议分析这些年，我手边离不开几样工具。有人问：“到底该用哪个抓包工具？”其实没有银弹。每个工具都有自己的脾气，选对了事半功倍。今天我结合自己的实战经验，把三个最主流的工具——Wireshark、tcpdump、tshark——掰开揉碎了聊清楚。
一、Wireshark：GUI时代的王者
Wireshark，说白了就是带图形界面的协议分析大师。我入行那会儿它还叫Ethereal。说实话，刚接触时觉得界面有点花哨，但用习惯后真离不开它。
核心优势：
- 协议解码支持最全，700+协议，从HTTP/2到Modbus TCP应有尽有
- 交互式过滤——写个
tcp.port==80 && ip.addr==192.168.1.1，立刻只看你要的流量 - 图形化统计：IO图表、流图、端到端延迟分布，一眼看出问题
我在一次排查线上HTTP慢响应时，就是用Wireshark的“Follow TCP Stream”功能，直接看到了服务器返回的完整HTTP头，发现有个自定义Header里藏了个300ms的sleep——好家伙，原来是业务代码挖的坑。
使用技巧：Wireshark的着色规则可以自定义。我习惯把TCP重传标成深红色，把SYN/SYN-ACK标成浅蓝色，这样抓包后扫一眼就看懂拥塞情况。
二、tcpdump：命令行老兵
tcpdump，老牌Unix工具，没有图形界面，但它是服务器端抓包的不二之选。你想想看，生产环境往往没有图形桌面，SSH进去一个tcpdump -i eth0 -w capture.pcap就能开干。我至今记得刚毕业那年，半夜两点被叫起来处理线上问题，用tcpdump抓了30秒流量，然后用scp拉回本地用Wireshark分析——整个过程不超过5分钟。
避坑指南：我曾经在流量高峰期直接tcpdump -i eth0不加任何过滤条件，结果磁盘写爆了。记住：线上环境一定要加-c限制包数，或者-W限制文件大小。
tcpdump的BPF过滤语法和Wireshark基本相通，但命令行风格更简洁。比如抓所有HTTP GET请求：
tcpdump -i any -nn 'tcp port 80 and (tcp[((tcp[12] & 0xf0) >> 2):4] = 0x47455420)'这条命令看起来有点吓人，但其实就是在TCP payload里匹配"GET "的前四个字节。嗯，这里要注意字节偏移的计算，我踩过几次坑才搞明白。
三、tshark：Wireshark的命令行分身
tshark是Wireshark的命令行版本，它比tcpdump多了协议解析层。性能上不如tcpdump极致，但胜在能直接输出解码后的字段。我一般用它做自动化分析脚本，比如每天晚上对pcap文件跑一遍tshark，统计HTTP状态码分布：
tshark -r capture.pcap -Y 'http.response.code' -T fields -e http.response.code | sort | uniq -c你看，一行命令就把所有200、301、404的计数列出来了。tcpdump做不到这么细粒度的解码输出。
适用场景对照表：
| 场景 | 推荐工具 | 原因 |
|---|---|---|
| 本地桌面调试 | Wireshark | 图形化，交互快，过滤直观 |
| 服务器远程抓包 | tcpdump | 轻量，性能高，无界面依赖 |
| 自动化批量分析 | tshark | 可脚本化，输出结构化字段 |
| 嵌入式/低内存设备 | tcpdump | 资源占用极低，甚至有busybox版本 |
| 协议深度解码脱敏 | tshark + Wireshark | tshark导出JSON，Wireshark可视化 |
四、如何选择——我的实战经验
说白了，你不用非此即彼。我个人的习惯是：
- 日常调试：优先Wireshark，图形界面能让你快速定位问题。
- 线上紧急抓包：tcpdump一把梭，先抓下来再说，后续再用Wireshark分析。
- 重复性分析：写shell脚本调用tshark，比如每天凌晨跑一次健康检查。
下面这张图是我自己梳理的知识体系，把它存住，以后遇到抓包场景时就不会纠结了。
五、补充一点：tshark与tcpdump的性能差异
我见过不少人以为tshark和tcpdump一样快，其实不然。tcpdump在内核层面就完成了过滤和捕获（通过BPF），用户态几乎不消耗CPU。tshark呢，它是在用户态重新解码每一个包，性能开销大不少。举个例子：在千兆网卡上抓满线速流量，tcpdump丢掉几千个包是常事，但tshark会丢更多——因为它处理不过来。
经验之谈：如果只是抓包保存，一定用tcpdump；如果要在抓包的同时实时解码分析，选tshark，但控制好速率，比如加-s 128只抓前128字节，减少处理量。
六、一个小彩蛋：我为什么还在用命令行
你可能觉得Wireshark这么方便，为什么还要学tcpdump和tshark？我自己就遇到过这种情况：某次在客户的堡垒机上，只有busybox环境，连apt-get都没有。当时我靠一个静态编译的tcpdump二进制文件（才几百KB），硬是抓出了服务器之间频繁RESET的真相——是负载均衡那边配置了短连接超时。如果只会点鼠标，那天晚上估计得通宵。
工具只是工具，真正重要的是你理解协议、理解抓包原理。这章先帮你把工具选好，后面我们会从抓包姿势、过滤语法、解码技巧一步步深入。嗯，先把这三个工具装好、试一遍，下回咱们直接开抓。