Wireshark 抓包工具介绍

这篇文章主要介绍一下 Wireshark 这个工具是如何抓包的，学习和使用抓包工具对于学习各种网络协议都很有帮助。

1.如何抓取报文

（1） 打开 Wireshark 抓包工具之后，点击 捕获->选项：

（2）在新打开的 捕获选项 可以看到如下界面：

（3）在 捕获选项 界面点击 Output 可以看到如下界面：

（4）在 捕获选项 界面点击 选项 可以看到如下界面：

（5）选择好 网卡之后点击下面的 开始 即可抓取报文：

（6）如下图所示是正在抓取报文的界面：

2.工具栏介绍

• 表示 开始抓包（捕获->开始）
  
• 表示 停止抓包（捕获->停止）
  
• 表示 重新开始抓包（捕获->重新开始）
  
• 表示 打开选项面板抓包（捕获->选项）
  
• 表示 打开抓包文件（文件->打开）
  
• 表示 保存捕获文件（文件->另存为）
  
• 表示 关闭捕获文件（文件->关闭）
  
• 表示 重新载入抓包文件（视图->重新加载）
  
• 表示 对报文着色（视图->着色分组列表）
  
• 表示 放大（视图->缩放->放大）
  
• 表示 缩小（视图->缩放->缩小）
  
• 表示 回复正常尺寸（视图->缩放->普通大小）
• 表示 使列宽适配内容长度（视图->调整列宽）
  
• 表示 查找报文（编辑->查找分组）
  
• 表示 到前一报文（跳转->前一分组）
  
• 表示 到后一报文（跳转->后一分组）
  
• 表示 到指定报文（跳转->转至分组）
  
• 表示 到第一个报文（跳转->首个分组）
  
• 表示 到最后一个报文（跳转->最新分组）
  
• 表示 实时抓包时自动滚动窗口至最新报文
  

3.数据包着色规则（视图->着色规则）

Tips：可以根据自己需要来增加着色或减少着色规则。

4.设定时间显示格式

4.1 相对时间

Tips：可以按 Ctrl+Alt+4（视图->时间显示格式->自捕获开始经过的秒数） 切换为相对时间，如图所示显示的时间是从开始抓包到抓取到该条报文经过的时间。

4.2 选择相对时间基准点

Tips：也可以选择某一条作为开始时间基准点，选中之后按 Ctrl+T（右键选中该条->设置/取消设置 时间参考） 可切换该条以后显示的相对时间。

4.3 绝对时间

Tips：可以按 Ctrl+Alt+1（视图->时间显示格式->日期和时间） 切换为绝对时间。

5.数据包列表面板的标记符号

• 表示 会话中的第 1 个数据包。
  
• 表示 会话中选中的数据包。
  
• 表示 不属于会话中的数据包。
  
• 表示 会话中最后 1 个数据包。
  
• 表示 请求。
  
• 表示 响应。
  
• 表示 若当前选中的是 ACK 报文，则此报文是它确认的那个报文。
  
• 表示 若当前选中的是 ACK 报文，则此报文是它重复确认的那个报文。
  
• 表示 选中的报文与此报文有某种关联。
  

6.流跟踪

Tips：右键点击 流跟踪 可选择 TCP流、UDP流、TLS流、HTTP流、HTTP/2 Stream、QUIC Stream。

Tips：选择 TCP 之后，显示过滤器上面会自动填入 tcp.stream eq 0 过滤条件。

7.文件操作

可以将指定报文标记之后导出，步骤如下：

• 标记报文 Ctrl+M（可以先shift选择多个）。
  
• 导出标记报文（文件->导出特定分组），亦可按过滤器导出报文。
  
• 合并读入多个报文（文件->合并）。
  

8.如果抓取手机上的报文

• 在操作系统上打开 wifi 热点
  
• 手机连接 wifi 热点
  
• 用 Wireshark 打开捕获->选项面板，选择 wifi 热点对应的接口设备抓包。