Wireshark 是一款免费、开源的网络抓包分析工具，界面简洁，易于理解和使用。
Wireshark 支持多种协议，如 TCP、UDP、HTTP、HTTPS、FTP、SMTP 等，并能深入检查数据包的协议细节，还提供了丰富的功能和灵活的过滤引擎，使用户能够深入分析网络数据包。
Wireshark 支持跨平台，Windows、macOS、Linux 甚至树莓派都能装，不弹广告，更不用担心授权到期，适合学生、家庭实验室和小公司零预算上手。
与商业巨头如微软的 Message Analyzer 或 SolarWinds 深度包检测模块相比，Wireshark 没有华丽仪表盘，却把“协议解码”这件事做到了极致：
- 支持一千多种协议，从老旧的 NetBIOS 到最新的 QUIC，都能层层剥开给你看；
- 过滤器语法像说话一样简单，输入“http and ip.addr==192.168.1.100”就能瞬间在海量数据里锁定某台手机的网页访问记录，这种精准度让很多收费工具也自叹不如。
总的来说，Wireshark 把“昂贵复杂”的网络分析变成了“免费直观”的平民工具，无论是高校机房、游戏战队、还是企业安全部门，只要想看清数据到底在网线里经历了什么，下载它准没错。
下载Wireshark
Wireshark官网中文版安装包下载地址：Wireshark安装包
- Wireshark-4.6.2-x64.exe：专为 64 位 Windows 台式机或笔记本准备
- WiresharkPortable64_4.6.2.paf.exe：便携版本，适合放到 U 盘或移动硬盘，随插随用；
- Wireshark-4.6.2-arm64.exe： 面向高通骁龙、微软 SQ 系列等 ARM64 架构 Windows 设备，例如 Surface Pro X、联想 Yoga 5G；
- Wireshark 4.6.2.dmg：为 macOS 用户准备的磁盘镜像。
安装Wireshark
我的电脑是 Windows x64 系统，下面手把手教大家用 Wireshark-4.6.2-x64.exe 和 WiresharkPortable64_4.6.2.paf.exe 安装 Wireshark。
1) 下载 WiresharkPortable64_4.6.2.paf.exe 的小伙伴，它实际上是一个压缩包，解压后得到下图所示的文件夹：
双击 WiresharkPortable64.exe 即可运行 Wireshark。
2) 下载 Wireshark-4.6.2-x64.exe 的小伙伴，双击它启动安装：
① 点击 Next：
② 点击 Noted ：
③ 点击 Next：
④ 勾选项保持默认即可，点击 Next：
⑤ 勾选上“Wireshark Desktop Icon”，然后点击 Next：
⑥ 默认安装到 C 盘，这里建议手动修改到其它盘（非系统盘），比如下图中我将其安装到了 D 盘里的 Wireshark 文件夹里：
⑦ 勾选项保持默认即可，然后点击 Next：
NPcap 是一个网络数据包抓包工具软件，是 WinPcap 的改进版，拥有更好的抓包性能，稳定性也更好。
⑧ 如果要抓取 USB 通信数据，可以勾选上 USBPcap，然后点击 Install：
⑨ 等待安装完成，之前勾选安装 NPcap 的会开启 NPcap 的安装程序，整个流程保持默认配置即可：
⑩ 安装完成后，点击 Next，在下图所示的窗口点击 Finish，Wireshark 就安装完成了。
使用Wireshark
安装完成后，电脑桌面上会增加 Wireshark 的启动图标：
双击启动它，Wireshark 的主界面如下图所示：
新手快速入门 Wireshark，只需记住三步：选网卡、点鲨鱼鳍开始、在过滤栏输入协议名即可。
1) 选网卡，使用网线上网的的选择以太网，使用 WiFi 上网的选择 WLAN（本机使用的是 WiFi）：
2) 参照下图，点击蓝色鲨鱼鳍样式的按钮开始抓包：
3) 旁边的正方形是停止抓包，过滤器可筛选自己想要的协议数据包：
4) 双击任意数据包，即可查看协议分析详情：
5) 抓包往往会产生大量数据，需要利用过滤语法精准筛选目标流量。Wireshark 的过滤语法逻辑清晰，支持多条件组合：
| 过滤类型 | 示例 | 说明 |
| 协议过滤 | http | 仅显示 HTTP 协议的数据 |
| 源 IP | ip.src == 192.168.1.10 | 筛选指定来源地址的数据包 |
| 目的 IP | ip.dst == 10.0.0.5 | 筛选发送至目标地址的包 |
| 端口过滤 | tcp.port == 443 | 仅显示 HTTPS 流量 |
| 内容查找 | tcp contains "login" | 搜索包含特定内容的包 |
| 多条件组合 | ip.dst==10.0.0.1 && tcp.port==80 | 使用逻辑与/或组合条件 |
使用常见问题
1) 无法抓包？
很可能是抓包驱动未正确安装造成的，尝试重新安装 Npcap 或以管理员身份运行。
2) 无接口显示？
可能是网卡禁用或权限不足，要启用网卡并确认 Wireshark 权限正常。
3) 抓包数据乱码？
字体或编码设置不符导致的，调整首选项中的字符编码。
4) 抓包数据量过大？
过滤条件缺失，应用显示过滤或设置捕获过滤器。
5) 程序运行缓慢？
可能是数据文件过大造成的，可以启用分段保存或限制捕获时间。
