从浏览器按F12到真正学会“抓包”，中间隔着的不是工具数量，而是对协议栈的理解。我最近在啃2023小迪安全的课程笔记，正好学到Day 7，这节专门讲其他协议抓包工具，涉及的科来、Wireshark和封包监听工具，算是把之前只盯HTTP层的思路彻底打开了一个维度。这篇就把自己上手的经过、工具选型的逻辑、踩过的坑一次性梳理清楚，给同样在学抓包的朋友一个参考。
先说个很直观的感受：浏览器F12只能看到HTTP/HTTPS请求，但真实网络环境里还有DNS、ARP、TCP握手、UDP广播、TLS握手这些底层交互，一旦排查对象不是网页而是某个小程序、某个客户端软件、某个未知协议，F12基本就废了。这时候就需要系统级抓包工具出马。科来、Wireshark和封包监听工具，分别对应“快速看全局、深度拆细节、轻量做验证”三种不同需求，我把它们放在一起学的原因也在这里。
1. 为什么还需要“其他协议”抓包工具
1.1 浏览器F12的盲区
如果你只用Fiddler或Burp Suite做过抓包，会很容易形成一个错觉：一个请求就是一条记录，点开就能看到URL、Header和返回内容。其实这套工具的工作方式是设置本地代理，让浏览器或APP的HTTP流量从代理走过，本质上只处理应用层里的HTTP/HTTPS协议。
但是网络通信远远不止HTTP这一层。举个例子，电脑开机后要发DHCP请求获取IP地址，访问网站前要先发DNS查询解析域名，TCP建立连接时要经历三次握手，这些过程全部发生在HTTP之下。你打开浏览器F12，能看到用了多少毫秒完成连接，但看不到SYN、SYN-ACK、ACK这三步到底重传了几次，更看不到ARP广播在局域网里是怎么找到网关的。
我在排查一个本地服务无法连接的问题时就有过一段经历：服务端日志显示连接根本没进来，客户端报错是超时，用Fiddler什么也看不到，因为问题根本不在HTTP层。后来用Wireshark抓了网卡流量，才发现TCP三次握手的SYN包发出了但一直没有回应，再排查才知道是防火墙拦了端口。这个场景就非常典型——不是所有问题都出在应用层。
1.2 抓包工具的分类逻辑
做抓包之前，我建议你先理清工具的分类，因为选错工具是最浪费时间的事。从工作方式上分，主要有两大类：
代理型抓包工具（如Fiddler、BurpSuite）工作在应用层，通过设置代理让流量“经过”自己；监听型抓包工具（如Wireshark、科来）工作在网卡层，直接把网卡收到的所有数据包都复制一份出来分析。监听型工具能看到底层协议，但需要额外设置才能看清HTTP内容（比如解密TLS）。
这个分类可以类比成快递点：代理型工具相当于快递驿站，所有包裹统一送到你这再分发，所以你能看清每张面单；监听型工具相当于站在小区门口看物流车经过，车身写了哪家物流公司、车牌号是多少，但车里面装了什么货物，得等车停下来打开车厢才能知道。
标题里提到的“其他协议”，本质就是指那些代理型工具处理不了的网络层、传输层协议场景。也正因为如此，我手里才需要同时备着科来、Wireshark和封包监听工具，各管一段。
2. 科来网络分析系统：适合快速看全局的国产工具
2.1 科来是什么，和Wireshark有什么不一样
科来网络分析系统（Colasoft Capsa）是国内做得比较早的商业网络分析软件，它和Wireshark最大的区别在于：Wireshark是“数据包级”的原始展示，每个包都列出来，很详细但信息密度对新手不友好；科来则偏“会话级”和“统计级”，它会把抓到的数据自动分类，给你看哪台机器流量最大、哪个协议占比最高、哪些连接异常重传，界面比Wireshark友好非常多。
我第一次打开科来的直观感受是“这简直是给网络管理员的仪表盘”。左侧是会话列表，直接把两端IP、端口、发送接收字节数、持续时间列成表格，中间有实时流量图，底部还能自动生成诊断事件，比如TCP重传过多、DNS响应超时，它会主动标出来。对于刚接触抓包的人，或者做网络排查时想要快速定位，科来比直接在Wireshark里翻包要高效得多。
2.2 上手入门：装好就抓包的正确打开方式
安装科来的时候会提示你选择网卡，注意一定要选对正在使用的物理网卡，常见错误是选了虚拟网卡或者没接网线的网卡，结果抓了半天一片空白。安装完成后默认就会开始分析，新手建议直接切到“协议”视图，可以看到DNS、TCP、UDP、ARP、ICMP等协议的实时占比。
我实际操作时一般按这个顺序来：先看“诊断”里有没有红色告警，有的话直接点进去看详细描述；然后看“会话”里有没有陌生的IP或者异常的大流量连接；最后切到“协议”视图对比各协议的比例是否正常。在某次排查公司局域网卡顿问题时，我就是从科里的诊断页面看到某台机器持续对外发TCP连接请求但几乎都没有应答，顺着会话列表找到那台主机，查完发现是中了挖矿程序在不停尝试连接矿池。
这个流程的价值在于，它不是从第10000个数据包里逐条找问题，而是先从统计层面发现异常，再缩小范围，比盲抓快几个数量级。
2.3 科来的局限：别指望它代替Wireshark
科来的优点也是它的缺点——它擅长“总结异常”，但不擅长“深挖细节”。比如你想看某个TCP流里完整的应用层数据载荷，或者要手动按复杂过滤条件筛选某个特征字符串，科来就明显不如Wireshark顺手了。
我在学习小迪笔记的时候，给科来的定位就是“预检工具”：先用它判断网络里大概发生了什么，然后导出对应的pcap包，再用Wireshark做逐包分析。科来支持导出pcap格式，这一步很关键，解决了商业工具数据孤立的问题，也算是两个工具配合使用的一个小技巧。
3. Wireshark 的核心能力拆解
3.1 过滤器：显示过滤器和捕获过滤器的区别
Wireshark是当前最主流的开源抓包分析工具，它上手的第一道坎就是过滤器。很多人觉得Wireshark内容太多无从下手，本质上就是没用明白显示过滤器（Display Filter）。它对应的是“抓进来之后，只显示满足条件的包”，是一条表达式，输入在工具栏里，例如：
ip.addr == 192.168.1.100 and tcp.port == 443这条过滤的意思是：只看源IP或目的IP是192.168.1.100，且源端口或目的端口是443的包。显示过滤器还有另一个容易踩坑的点：表达式里的变量名是英文的，比如IP地址要写成ip.addr，而不要偷懒只写ip，语义完全不同。
除了显示过滤器，还有一个捕获过滤器（Capture Filter），它是在抓包之前就先丢包，使用Berkeley Packet Filter（BPF）语法，只抓符合条件的包，比如：
host 192.168.1.100 and tcp port 443捕获过滤器写在Capture Options里，好处是流量特别大时可以预先减负，坏处是语法和显示过滤器不一样，而且过滤掉的包再也找不回来。新手我建议只用显示过滤器，抓全量包、按需过滤，这样最安全，不会因为预过滤漏掉关键线索。
3.2 三个我实测后离不了的功能
第一个是Follow TCP Stream（追踪TCP流）。在任意一个TCP包上右键选择“Follow” -> “TCP Stream”，Wireshark会把这次TCP连接里所有双向载荷拼接成完整会话内容，以文本或十六进制形式呈现。这个功能在分析明文HTTP、Telnet、FTP、甚至部分自定义协议时极其好用，能直接看到两端交互的数据，不用自己拼包。
第二个是Statistics菜单里的Protocol Hierarchy和Conversations。Protocol Hierarchy会按树形展示各协议的流量占比，Conversations会列出所有通信双方之间的会话统计。我排查高频外联行为时，先看Conversations按“Packets”排序，基本能一眼锁定流量最多的那几对IP，配合GeoIP插件甚至可以直接看到目的地的地理位置。
第三个是Telephony菜单下的VoIP Calls。如果抓到的流量里有SIP和RTP包，可以在这里面直接看到通话记录、时长和媒体流状态。这个功能在排查语音网关问题时简直就是神器，比一条条翻RTP包高效太多。
3.3 进阶必知：TLS解密和TCP分段重组
Wireshark版本的更新带来一个好用的能力——TLS解密。只要访问HTTPS网站时设置了环境变量SSLKEYLOGFILE，浏览器会把TLS会话密钥写入文件，Wireshark在协议设置里导入这个文件后，就能实时解密HTTPS流量，直接看到HTTP明文请求。
操作步骤是：先设置环境变量SSLKEYLOGFILE为某个路径，比如C:\sslkey.log；然后启动Chrome或Firefox访问目标网站，让浏览器把密钥写进文件；再打开Wireshark，进入Edit -> Preferences -> Protocols -> TLS，把(Pre)-Master-Secret log filename设为刚才的路径。这样以后抓包时，Wireshark就能识别Keylog文件并自动解密TLS流量。
注意：这个功能依赖于浏览器环境的密钥日志机制，设置环境变量对Chrome和Firefox均有效，但新版浏览器如果开启了某些安全策略可能导致Keylog不生效，这一点我在实际使用中遇到过，Chrome升级到较新版本后需要确认环境变量设置后重启浏览器才能写入。
另一个非常容易忽略的设置是TCP协议偏好里的“Reassemble out-of-order segments”和“Allow subdissector to reassemble TCP streams”，如果关闭了这两个选项，即使Follow TCP Stream也可能只看到片段，看不到完整数据。我之前排查一个文件上传问题，服务器收到的文件总是不完整，怀疑是报文被截断，后来发现就是没开重组选项，才导致界面里只能看到每个分段的零散数据。
4. 封包监听工具：轻量级方案的实操记录
4.1 轻量监听工具有什么用
Wireshark虽然强大，但有个现实问题：在某些场景下太重了。比如你想快速确认某个软件是否在后台偷偷外联，或者在老旧虚拟机上做实验，装Wireshark需要装Npcap/WinPcap驱动，可能还要管理权限，临时用一下有点小题大做。这就是封包监听工具的用武之地。
以SmartSniff（NirSoft出品）为例，它是一款不到几百KB的免费小工具，支持通过Raw Sockets或WinPcap驱动监听网络流量，界面简洁，能直接显示TCP/IP流的内容，还支持导出为pcap/hml格式。作为封包监听工具代表，它在“快速验证”场景下非常顺手。
4.2 实操记录：用SmartSniff快速定位软件外联行为
我的操作步骤很直接：打开SmartSniff，在菜单里选择“开始抓包”时它会提示选择网络适配器，选对当前正在上网的那块网卡；开始抓包后，运行待测试的软件；软件运行期间执行一次需要联网的操作（比如登录、更新），以便触发外联；然后回到SmartSniff查看结果，点开对应的TCP连接记录，右侧就能看到本次连接的请求内容。确认目标后，可以把它导出成pcap文件，丢到Wireshark里做进一步分析。
这个流程里我的体会是，轻量封包工具的“轻”是它最大的优势。装一个SmartSniff速度很快，不装驱动也可以先用Raw Sockets模式顶一下，在临时排查场景下帮助很大。它劈断的其实不是功能，而是那个“要不要为了一次小排查去装一个大型工具”的时间成本。
4.3 封包监听工具与Wireshark的分工
学完小迪笔记Day 7之后，我对三种工具的分工理解得更清晰了：
科来擅长做全局统计和异常告警，适合第一时间掌握网络整体状况；Wireshark擅长做数据包级深度分析，是最终裁决的工具；封包监听工具适合快速验证和轻量部署，在算力有限、只需要确认“有没有流量、去了哪”时就够了。三者都能抓包，但各自适合的场景差别非常大，我建议初学者不要只盯着Wireshark，把另外两类工具的经验也积累起来。
5. 常见问题排查与避坑技巧
5.1 Wireshark里看到的TCP数据比应用层数据少？可能就是这个原因
我见过很多人第一次抓HTTPS包时都会问：为什么我看到了很多个TCP包，但每个包的Length都很小，我明明传了一个大文件，怎么数据被拆成这么碎了？其实这是正常现象，TCP是流式协议，应用层数据会按MSS（Maximum Segment Size）被分段，常见值是1460字节（即MTU 1500减去IP头和TCP头），超过这个大小就会分片发送。
那热搜里的“为何只能显示520字节数据”是怎么一回事？一般是显示设置或者分片重组没开启的问题，也有一个可能是抓包时网卡开启了“巨型帧”或TSO（TCP Segmentation Offload），网卡硬件直接把大包切分，Wireshark反而只能看到分片后的数据。解决办法是打开Edit -> Preferences -> Protocols -> TCP，勾选允许TCP流重组；如果抓包机用的是虚拟网卡，尽量关闭网卡的TSO/GRO硬件卸载功能，这样Wireshark看到的才是更接近原始应用数据的包。
5.2 Wireshark能不能抓串口数据
热搜里有人问Wireshark能不能抓串口，这个其实是很多人不知道的扩展玩法。Wireshark本身不支持直接抓串口，但通过它的extcap机制，可以配合自定义脚本实现串口数据采集。更常用的间接方案是：在收发串口数据的服务端使用串口转网络工具，把串口数据映射成TCP端口，然后用Wireshark抓回环地址的TCP流量。或者直接使用支持串口监听的专用工具，比如Free Serial Port Monitor、COM Port Data Emulator等，这类工具会把串口数据按时间戳和收发方向展示，定位串口通信问题更直接。
我在工作中确实遇到过需要分析串口协议的场景，当时手里没有串口分析仪，就是靠把数据转发到TCP端口后用Wireshark抓包做解码，再把十六进制载荷还原成可读内容来排查的。这个思路可以作为一个通用处理方案来用，核心一句话：把不好抓的流量变成好抓的流量。
5.3 怎么筛选UDP前后两个包的时间间隔
Wireshark的显示过滤器有一个字段叫frame.time_delta，表示当前包和前一个包的时间差。要找出UDP包中前后间隔大于1秒的记录，可以直接用过滤器：
udp and frame.time_delta > 1注意这个字段是按“已显示的包”序计算时间差的，所以如果你在上一条过滤器的基础上再叠加其他过滤条件，时间差会重新按当前显示列表计算。我在分析某个音视频卡顿问题时，就是用这个过滤器快速找到哪些UDP包之间的间隔异常变大，再对应到当时的网络延迟。
如果想要更精确的计算两包时间差，还有一个方法是用tshark命令行导出时间戳，再用脚本处理。tshark是Wireshark的命令行版本，支持批量分析和数据导出，在自动化分析场景里非常实用。
5.4 中文过滤词陷阱和界面乱码
Wireshark的过滤表达式和协议字段默认都是英文，网上很多中文教程会教你“输入HTTP查看HTTP请求”，但如果你把界面语言切成了中文，过滤表达式仍然是英文的。这是个新手最容易懵的点，包括我也曾搜“错误”和“警告”想过滤异常包，结果什么都没有。
解决办法很简单：不要用中文做显示过滤词，所有过滤表达式都用对应的英文协议字段名。关于抓包内容里的中文乱码，如果是HTTP报文里包含中文，正常情况Wireshark会用UTF-8或ASCII显示；如果显示成乱码，先在左侧选中对应协议字段，看下方十六进制区对应的字节值，判断是编码问题还是加密载荷，不要急着下结论。明文HTTP里如果看到了十六进制但解码不成文字，可能性最大的还是数据本身经过了某种编码（比如gzip压缩、Base64编码）。
5.5 抓包抓不到回包？网卡和模式优先级最高
如果你抓包时发现只有请求没有响应，或者一个包都抓不到，90%的情况下是以下三个原因之一：网卡选错；没有开启混杂模式（Promiscuous Mode）；过滤条件写错。网卡选错好理解，电脑上有线网卡、无线网卡、虚拟网卡好几个，抓包前必须确认当前实际通信的网卡。
混杂模式是监听型抓包的关键，开启后网卡会把经过它但目标不是自己的包也收进来，这在排查局域网内ARP欺骗、广播风暴等问题时是必需的。在Wireshark的Capture Options里有一个“Enable promiscuous mode on all interfaces”复选框，默认是勾选的，但如果你换了网卡或使用了某些虚拟接口，记得重新检查这个选项。
还有一个非常容易被忽略的问题：管理员权限。Windows下抓包工具需要管理员权限才能访问Npcap驱动，Linux下也需要root或相应cap_net_raw权限，否则打开网卡会失败或只显示一个空接口。这个问题出现频率极高，我自己就曾经在最小权限用户下折腾了半小时才发现是权限不够。
6. 三种工具到底怎么配合，我的最终经验
学完这节课并实际操作一轮后，我形成了一个固定的分析流程：先用科来看全局，利用它的仪表盘和诊断功能快速判断当前网络里有没有明显的异常行为；发现问题后导出pcap，用Wireshark对可疑的会话做深度分析，配合显示过滤器和Follow TCP Stream功能把完整数据挖出来；如果只是临时验证某个小软件是否有外联行为，没必要上科来和Wireshark，直接开一个轻量封包监听工具（比如SmartSniff）就能快速得出结论。
关于工具选择，我一直持一个观点：没有最好的工具，只有最适合当前场景的工具。Wireshark确实是绕不开的核心技能，无论你以后做网络运维、安全分析还是协议开发，它都是必会项；科来适合做“全局”辅助；封包监听工具的价值则在“临门一脚”时体现。在授权范围内多装多试，把这几种工具都跑一遍真实流量，比只看文档快得多。
最后再分享一个小技巧：抓包分析时随时把关键的pcap文件保存下来，文件名按“日期+场景+工具”命名，比如“20250120_dns_timeout_wireshark.pcap”。我吃过亏，当时没保存重要抓包结果，后来要复盘时只能重新搭建环境再抓一次，耗时不说，有些偶发问题根本无法复现。养成存档习惯，往后排查问题会轻松很多。
