复制功能能带走什么
Wireshark 的复制菜单（右键报文 → Copy）可以把当前看到的报文信息以多种形式导出到剪贴板：整行摘要、全部可见列、某个字段的值、原始字节的十六进制转储等。协作时最常用的组合是「摘要行 + 帧号 + 关键字段值」，对方既能在自己的抓包里跳转，也能直接看懂你指的是哪一条。批量搬运时改用命令行导出更合适。
基本信息
| 图形入口 | 报文列表右键 → Copy → 选择具体子项 |
|---|---|
| Summary as Text | 当前行的摘要文本，含时间与协议要点 |
| All Visible Items | 按当前列布局批量复制多行 |
| Bytes as Hex Dump | 原始字节的十六进制转储，用于内容核对 |
| Value | 复制某个字段的值本身，不带格式 |
| 命令行等价 | tshark -T fields 输出字段，-x 输出十六进制转储 |
典型使用场景
- 写工单：把关键帧摘要与字节内容粘进工单，复核方不必下载整包也能先判断方向
- 汇报结论：粘几行摘要比贴一张截图更便于引用与检索
- 字段核对：把字段值复制到比对工具里与预期值逐位对照
- 内容取证：复制十六进制转储，核对报文里是否真的包含某个字符串
- 给同事指路：附上帧号与时间，对方在自己的文件里一步跳到位
命令行等价写法
命令行等价写法
tshark -r a.pcap -Y 'tcp.stream == 7' -T fields \
-e frame.number -e frame.time -e ip.src -e tcp.dstport # 批量导出字段
tshark -r a.pcap -Y 'frame.number == 1180' -x # 单帧十六进制转储
tshark -r a.pcap -Y 'http.request' -T fields -e http.host -e http.request.uri \
| sort | uniq -c | sort -rn # 按路径统计次数复制项与用途
| 复制项 | 内容 | 适合场景 |
|---|---|---|
| Summary as Text | 一行的摘要文本 | 工单与聊天里指认报文 |
| All Visible Items | 多行按列复制 | 把列表搬进表格工具 |
| Bytes as Hex Dump | 十六进制与可读字符 | 内容级取证与比对 |
| Value | 单一字段的值 | 精确核对某个数字或字符串 |
| as CSV | 按逗号分隔的字段 | 导入电子表格做统计 |
| Plain Text | 带缩进的解析树文本 | 把完整层次贴进文档 |
复制的文本按当前界面语言与显示设置生成：跨语言环境粘贴时字段名可能不一致，重要结论建议同时给出字段名与值，而不是只贴一行渲染后的文字。
需要粘贴的内容超过十几行时，直接把筛选后的子集导出成 pcap 更实用，对方可以自己在完整上下文里看，也避免聊天窗口截断。