4. Wireshark 基础：界面、捕获过滤器、显示过滤器
Wireshark 这东西，做网络分析的应该没人不知道。它就像网络世界的显微镜，能让你看到每一比特的流动。不过很多人装上就开抓，一看满屏数据就懵了。别急，先把界面和过滤器搞清楚，后面才能游刃有余。
4.1 界面布局——每个面板都有它的道理
我第一次打开 Wireshark 的时候，说实话有点懵。菜单栏、工具栏、三个面板、状态栏，东西不少。但用顺手了就会发现，每个区域都设计得刚刚好。
核心区域就这几个：
- 菜单栏 + 工具栏 —— 抓包控制、文件操作、视图切换都在这里。记住 Ctrl+E 开始/停止抓包，Ctrl+K 调出捕获选项，效率能快不少。
- Packet List 面板（包列表）—— 所有抓到的包逐行显示。我个人习惯先把列调好：时间、源地址、目的地址、协议、长度、信息。六列足够，再多就看不清了。
- Packet Details 面板（包详情）—— 点中某个包，这里会分层展示协议头。从物理层到应用层，一层层往下点，报文结构一目了然。
- Packet Bytes 面板（包字节）—— 原始十六进制和 ASCII 码。我在项目里遇到过需要手工拼报文的情况，全靠这个面板逐字节核对。
- 状态栏 —— 显示抓包状态、已抓包数量、当前 profile 等。别小看它，profile 切换经常在这操作。
4.2 捕获过滤器——把好第一道关
捕获过滤器用的是 BPF 语法，全称 Berkeley Packet Filter。说白了就是给网卡装一个筛子，符合规则的包才放进来，不符合的直接扔。这个过滤发生在内核层，效率非常高。
语法格式很简单：[proto] [direction] [host/net/port] [value]。常用的一双手就能数过来：
# 只抓与特定主机通信的流量
host 192.168.1.1
# 只抓 HTTP 流量（TCP 80 端口）
port 80
# 抓特定网段
net 192.168.0.0/24
# 抓 DNS 查询（UDP 53 端口）
udp port 53
# 组合条件：来自某网段的 HTTP 流量
src net 192.168.0.0/24 and port 804.3 显示过滤器——灵活的事后分析
显示过滤器是 Wireshark 自己的语法，比 BPF 丰富得多。它不影响已经抓到的那堆数据，只是让你从不同角度观察。你随时可以改条件，来回试，数据都在那儿，跑不掉。
基本套路是 [协议].[字段名] [比较运算符] [值]：
# 过滤特定 IP 地址
ip.addr == 192.168.1.1
# 只看 HTTP 请求
http.request
# 过滤 TCP 端口
tcp.port == 443
# 字符串包含匹配（常用于 HTTP Host 头）
http.host contains "example"
# 复合条件：某 IP 的 HTTPS 流量
ip.addr == 192.168.1.1 and tcp.port == 443比较运算符有 ==、!=、>、<、contains、matches（正则）。逻辑组合用 and、or、not，跟写代码差不多。
我有个习惯： 抓完包先不急着看细节，先用显示过滤器把"噪音"去掉。比如过滤掉广播包（!eth.addr == ff:ff:ff:ff:ff:ff）和 ARP 包（!arp），只看我关心的协议。这样 Packet List 瞬间清爽，定位问题快很多。
4.4 捕获过滤器 vs 显示过滤器——到底该用哪个？
很多新手搞不清两者的区别。其实记住一句话就行：捕获过滤器是"进门前筛选"，显示过滤器是"进门后筛选"。下面这个表格把差异列清楚了：
| 对比维度 | 捕获过滤器 | 显示过滤器 |
|---|---|---|
| 过滤时机 | 数据包进入时（网卡/内核层） | 数据显示时（应用层） |
| 语法基础 | BPF (Berkeley Packet Filter) | Wireshark 字段表达式 |
| 效率 | 高（无关包直接丢弃） | 中等（需处理所有已存包） |
| 是否可逆 | 不可逆（丢弃的包无法恢复） | 可逆（不影响原始数据） |
| 典型示例 | host 192.168.1.1 |
ip.addr == 192.168.1.1 |
| 适用场景 | 大流量、高噪音、嵌入式环境 | 事后分析、问题定位、教学演示 |
我的建议是：能用显示过滤器解决的问题，就别用捕获过滤器。捕获过滤器只用在流量特别大、或者设备资源有限的时候。你想想看，如果抓包就是为了定位一个偶发问题，用捕获过滤器把关键包丢了，那才真叫欲哭无泪。
4.5 实战建议——少走弯路
最后分享几个我自己摸爬滚打总结出来的习惯：
- 抓包前先想清楚要什么。 是要看连接建立过程？还是找丢包？还是分析应用协议？目的不同，过滤器的写法完全不同。
- 多用显示过滤器做"减法"。 比如
!arp && !icmp && !mdns先把网络噪音清掉，剩下的流量就好分析了。 - 善用 Coloring Rules。 在 View → Coloring Rules 里把不同协议标成不同颜色。我在项目中习惯把 HTTP 标成绿色，DNS 标成黄色，TCP 重传标成红色。一眼扫过去就能发现异常。
- 保存好你的过滤表达式。 常用的显示过滤器可以保存到收藏夹（星标按钮），下次直接点，不用重新敲。
- 遇到看不懂的包，先在 Details 面板里逐层看。 从 Frame 层开始，一层层往下翻，每个字段的说明都很清楚。Wireshark 的文档其实就在界面里。