导出分组字节是什么
File → Export Packet Bytes… 把一个或多个报文的字节流原样写入文件，是从抓包里取回业务数据的直接手段。导出的起点取决于在 Packet Bytes 面板里选中的协议层：从 Frame 开始导出得到含全部协议头的整帧；选中 HTTP 或 TLS 记录层再导出，得到的才是这一层的完整载荷，也就是最贴近原始文件的那段字节。实际用途集中在还原传输内容：把明文下载的安装包、脚本、图片导出后与业务侧记录的大小和哈希比对，从而判断数据是否完整、截断发生在哪一层。多帧导出需要先 Mark 再用导出标记分组的入口。
基本信息
| 适用产品 | Wireshark 桌面版；命令行等价物为 tshark 的字段导出与 editcap |
|---|---|
| 入口 | File → Export Packet Bytes…，或右键选中报文 |
| 导出起点 | 由 Packet Bytes 面板中选中的协议层决定 |
| 多包导出 | 先 Mark 再走导出标记分组，或对单帧逐条导出后按序拼接 |
| 关联功能 | File → Export Objects 可按协议自动重组整份对象 |
典型使用场景
- 还原下载内容：HTTP 明文传输的脚本、配置、图片导出后直接校验哈希
- 核对截断位置：导出的字节数与业务日志对照，判断丢的是载荷还是协议头
- 提取配置文本：TFTP/HTTP 传的配置文件导出后即可编辑比对
- 取样送检：可疑二进制负载导出后交给沙箱或字符串工具分析
- 分片重组：大文件分多帧传输时按序号导出再拼接
操作要点
操作要点
File → Export Packet Bytes… # 也可右键选中报文后选同名菜单项
# 先在 Packet Bytes 面板选中起始协议层，导出范围随选择变化
Ctrl+M 标记多帧 → 走导出标记分组入口 # 批量取数
sha256sum exported.bin # 与业务侧记录的大小、哈希比对导出范围差异
| 导出起点 | 得到的内容 | 易错点 |
|---|---|---|
| 整帧 | 含全部协议头 | 与业务文件相差几十字节，直接比大小会被判成不一致 |
| 某应用层 | 该层载荷，最贴近业务文件 | 需先确认该帧载荷完整未被截断 |
| 截断包中的帧 | 仅抓取长度以内的字节 | 导出文件长度不足，先看帧的捕获长度字段 |
抓包时若限制了快照长度（例如只抓前 96 字节），超过该长度的载荷根本没有落盘，导出只能得到残缺文件；这种情况需要重抓，光靠后期处理补不回来。
HTTP、TFTP、SMB 等协议可以直接用 Export Objects 自动重组整份对象，比逐帧导出省事；它只覆盖部分协议，重组失败时仍需按序号手工导出后再拼接。