为什么要核对版本
抓包工具链在不同版本之间差别很大：采集工具的选项被废弃或改名、分析工具的字段路径被重构、默认行为悄悄变化。现场用较新的版本采集、办公室里用较旧的版本分析，经常出现字段找不到、统计数字不一致的情况。把版本核对当成采集流程的固定一步，问题的可复现性会好很多。
基本信息
| 采集侧 | tcpdump --version、dumpcap --version |
|---|---|
| 分析侧 | tshark --version、Wireshark 关于对话框中的版本号 |
| 文件处理 | editcap、mergecap、capinfos 同样需要记录版本 |
| 记录位置 | 写进采集说明与交接文档，而非只留在聊天记录里 |
| 注意陷阱 | tcpdump 的 -v 是提高详细度，不是查看版本 |
| 关注点 | 分析工具版本同样影响解析结果，两侧都要记 |
典型使用场景
- 采集前准备：确认现场工具是否支持计划使用的选项，避免命令跑不通
- 问题复现：跨团队复现结论时先对齐版本，排除版本差异造成的分歧
- 脚本维护：升级后逐个回归脚本里用到的选项，确认语义未变
- 手册对照：查到的用法与本机版本不符时，先确认版本再改写法
- 归档留痕：把版本写进采集说明，几年后复盘仍能还原当时环境
版本核对命令
版本核对命令
tcpdump --version # 采集侧, 注意不要用 -v, 那是详细输出
dumpcap --version # 采集侧底层工具
tshark --version # 分析侧命令行
tshark -G fields | wc -l # 本机可识别字段总数, 便于跨机对照
editcap --version 2>/dev/null || editcap -h | head -3 # 部分版本用 -h 看版本
capinfos -h 2>&1 | head -3常见版本差异点
| 差异点 | 表现形式 | 应对 |
|---|---|---|
| 选项改名或废弃 | 命令报错或静默忽略参数 | 查本机帮助, 更新脚本 |
| 字段路径变化 | 过滤表达式无效 | 以本机字段列表为准改写 |
| 默认行为调整 | 同样的命令得到不同结果 | 在脚本里显式指定关键参数 |
| 输出格式微调 | 解析脚本的正则失配 | 按字段导出替代文本解析 |
| 文件格式支持 | 新格式在老版本打不开 | 确认对方可读的格式再交付 |
只记录采集工具的版本不够：分析工具的版本决定字段与解析行为，跨团队协作时把两侧版本都写进交接说明，减少「我这里显示正常」这类无效沟通。
升级工具后要回归脚本：升级说明里通常会列出行为变化，但实际影响还需用一批历史抓包跑一遍，比对输出差异。