1.过滤器用好了，信息量大减半!
抓包容易，分析难，一大堆数据包扑面而来，如何迅速找到关键数据?
- 直接在 Display Filter 输入ip.addr==192.168.1.1 只显示与192.168.1.1相关的流量。
- 过滤 HTTP流量:http
- 只看TCP三次握手:tcp.flags.syn ==1 and tcp.flags.ack ==0
熟练使用过滤器，抓包分析效率翻倍!
2.关注 TCP 交互过程
很多网络故障和TCP交互异常有关，比如三次握手不完整、重传过多。
- tcp.analysis.retransmission:查找 TCP重传
- tcp.analysis.lost_segment:定位TCP丢包
- tcp.flags.reset ==1:查看哪些连接被RST终止
通过这些过滤器，快速判断是否存在TCP连接问题。
3.直接提取网站中的文件
抓包时如果你访问了某个网站，Wireshark可以直接提取里面的文件，比如图片、JS脚本等。
File>Export Objects>HTTP，可以看到所有的HTTP传输对象，选择需要的文件保存下来。
4.统计流量，秒懂网络状况
在Wireshark中可以快速查看哪些设备流量最高、哪个协议占用最多。
- 统计对话流量:Statistics > Conversations
- 统计协议分布:Statistics >Protocol Hierarchy
- 查看 I0走势:Statistics >l0 Graph
这些功能让你对当前网络流量一目了然。
5.追踪某个会话的完整数据流
想要跟踪某个TCP或UDP连接的完整数据流?
- 右键点击某个数据包，选择Follow>TCPStream，即可查看完整的交互过程。
这对分析HTTP、DNS、数据库协议非常有用!
6.解密 HTTPS 流量
Wireshark还能用来解密HTTPS流量，但前提是你需要掌握SSL/TLS预共享密钥。
- 在 Edit> Preferences >Protocols >TLS,添加 SSLKey Log 文件
- 使用ssl&&tcp.port==443过滤HTTPS流量
如果你手上有服务器的密钥文件，还可以直接解密HTTPS 传输内容。
7.设置 Wireshark 颜色规则
你可以给不同的协议或状态添加颜色，让抓包结果更直观。
- View>Coloring Rules，根据不同的流量类型设置高亮比如SYN数据包可以标红，RST连接终止可以标蓝，一眼就能看出异常!
8.只抓取特定接口或协议
默认情况下Wireshark会抓所有流量，但很多时候你只想分析特定流量。
- 只抓某个网卡的数据:Capture>Options，选择特定接口
- 只抓TCP流量:tcp
- 只抓UDP DNS 解析流量:udp port 53
通过调整抓包策略，减少无关数据，提高分析效率!
9.使用 Wireshark 远程抓包
有时候服务器在远端，无法直接抓包，这时候可以用tcpdump在服务器端抓包，然后用Wireshark解析。
在Linux服务器上运行: tcpdump -i eth0 -w capture.pcap
把capture.pcap拷回本地，用Wireshark打开分析。或者直接用ssh+Wireshark远程抓包: ssh root@192.168.1.1 tcpdump -i eth0 -w -|
wireshark -k -i -
10.结合 Tshark 命令行使用
Wireshark的GUI界面很好用，但如果你需要自动化分析，Tshark(Wireshark的CLl版本)是个利器。
- 直接过滤抓取TCP80端口流量: tshark -i eth0 -f “tcp port 80”
- 统计HTTP访问次数: tshark -r capture.pcap -Y “http.request”| wc -l
掌握Tshark，让你的抓包能力更进一步!
11.结合 AI自动分析抓包数据
现在AI这么火，我们也可以用AI工具来辅助分析抓包数据，比如 DeepSeek、Wireshark官方插件等。
- Wireshark的Expert Info面板，会自动标记异常数据包。
- Machine Learning for Wireshark插件可以帮助自动检测异常流量。
未来AI可能会成为抓包分析的标配，让网络诊断更加智能化!
