Wireshark 用在什么环节
Wireshark 是流量取证与协议分析工具：用显示过滤器定位会话，用流跟踪还原一次完整交互，用统计面板看会话与协议分布。它常见于两类工作：一是验证某个请求在链路上到底发生了什么（例如证书、重定向、认证过程），二是事故复盘与协议行为分析。TLS 流量只有在持有会话密钥日志时才可解密。
基本信息
| 适用平台 | Windows / Linux / macOS，命令行版本为 tshark |
|---|---|
| 显示过滤器 | ip.addr、tcp.port、http.request.method、dns.qry.name 等 |
| 常用操作 | 流跟踪、会话统计、协议分层统计 |
| 解密条件 | 持有会话密钥日志（如浏览器导出的密钥文件） |
典型使用场景
- 验证客户端与服务端的实际交互过程与协议版本
- 排查重定向链与证书协商的具体过程
- 分析异常连接与扫描行为留下的流量特征
- 为协议类问题提供直接证据（请求确实发出了、响应确实返回了）
- 在授权范围内核查明文协议的使用情况
过滤器与操作示例
过滤器与操作示例
ip.addr == 10.0.10.5 && tcp.port == 443
http.request.method == "POST"
dns.qry.name contains "example.com"
tcp.flags.syn == 1 && tcp.flags.ack == 0 # 只看新建连接，观察扫描或异常连接
Follow → TCP Stream # 还原一次会话的完整交互
Statistics → Conversations / Protocol Hierarchy # 会话与协议分布统计
TLS 解密：Preferences → Protocols → TLS → 指定会话密钥日志文件常见过滤器与判据
| 过滤器 | 用途 | 观察要点 |
|---|---|---|
| ip.addr | 按主机筛选流量 | 定位单台主机的全部交互 |
| tcp.port | 按端口筛选 | 区分服务与协议 |
| http.request | 定位 HTTP 请求 | 方法、路径与头部内容 |
| dns.qry.name | 观察域名查询 | 发现内部域名与非常用解析 |
| tls.handshake | 查看握手过程 | 协议版本与证书信息 |
抓包文件常含会话凭证与个人数据：加密存放、限权访问、到期销毁，并避免把原始文件随报告一起分发。
长时间抓包要先设置捕获过滤器并评估存储空间：全量抓包在生产链路上一小时就可能产生数十 GB 文件，写入磁盘本身也会影响主机性能。