WireShark 中的数据包捕获和过滤器简介
来源：aliyun.com 编辑：xjh 2025-11-17
WireShark 是一种功能强大的网络协议分析工具，它广泛用于网络故障排除、安全分析、协议开发和学习。WireShark 可以捕获并分析网络流量，提供有关网络数据的深入视图。本文将详细介绍 WireShark 中的数据包捕获和过滤器的使用方法，以帮助用户高效地捕获和分析网络数据。
一、WireShark 概述
WireShark 是一种开源的网络协议分析工具，能够实时捕获网络流量，并通过图形用户界面显示数据包的详细信息。它支持广泛的协议分析，包括 TCP/IP、HTTP、DNS 等，并且可以保存捕获的数据以供后续分析。
二、数据包捕获
数据包捕获是 WireShark 的基本功能，它允许用户从网络接口中捕获数据包。以下是数据包捕获的详细步骤：
启动 WireShark
打开 WireShark 应用程序。你将看到主界面，其中包括所有可用的网络接口列表。
选择网络接口
在主界面中，选择一个或多个网络接口进行数据包捕获。网络接口通常包括有线网络接口（如 eth0）、无线网络接口（如 wlan0）以及虚拟接口等。
在 WireShark 主界面的顶部菜单中，点击“捕获”>“选项”。
在“捕获选项”对话框中，选择要捕获数据的网络接口。你可以选择一个或多个接口，点击“开始”以开始数据包捕获。
配置捕获选项
在开始捕获之前，可以配置一些捕获选项来优化数据捕获过程：
捕获文件大小限制：设置文件的大小限制，以避免生成过大的捕获文件。
数据包捕获过滤器：可以设置过滤器，仅捕获特定条件下的数据包。
时间戳：选择是否在捕获的数据包中包含时间戳。
例如，若你只对 HTTP 流量感兴趣，可以在“捕获选项”中设置捕获过滤器为 tcp port 80。
开始捕获
点击“开始”按钮开始捕获数据包。WireShark 将实时显示捕获的数据包，并以列表形式展示。
停止捕获
捕获完成后，点击主界面的“停止”按钮，停止数据包捕获。捕获的数据包将保存在文件中，可以进行进一步分析。
三、数据包过滤器
数据包过滤器用于筛选和分析捕获的数据包。WireShark 提供了强大的过滤功能，分为捕获过滤器和显示过滤器两种。
1. 捕获过滤器
捕获过滤器用于在数据包捕获阶段筛选数据包，从而减少捕获文件的大小。这些过滤器基于 pcap 语法，通常需要在开始捕获之前设置。
基本语法：
[协议] [条件]
例如，若只希望捕获 HTTP 流量，可以使用：
tcp port 80
其它示例：
捕获源 IP 为 192.168.1.1 的流量：
src host 192.168.1.1
捕获目的 IP 为 10.0.0.1 的流量：
dst host 10.0.0.1
捕获 TCP 连接：
tcp
捕获过滤器在开始捕获时应用，限制了被捕获的数据包类型和数量。
2. 显示过滤器
显示过滤器用于在捕获后筛选数据包，只显示符合条件的数据包。这些过滤器基于 Wireshark 过滤语法，可以在捕获后随时应用。
基本语法：
[协议].[字段] [运算符] [值]
例如，若希望仅显示 HTTP 请求数据包，可以使用：
http.request
其它示例：
显示源 IP 为 192.168.1.1 的数据包：
ip.src == 192.168.1.1
显示目的端口为 80 的 TCP 数据包：
tcp.dstport == 80
显示 TCP 数据包中的特定标志（如 SYN）：
tcp.flags.syn == 1
显示 DNS 查询请求：
dns.qr == 0
显示过滤器能够在数据包捕获后应用，帮助用户从大量数据中提取感兴趣的信息。
四、实用示例
捕获和显示特定流量
若你只对某个特定主机的流量感兴趣，例如 192.168.1.100：
捕获过滤器：
host 192.168.1.100
显示过滤器：
ip.addr == 192.168.1.100
这些过滤器组合将帮助你捕获并分析来自特定主机的所有网络流量。
分析 HTTP 流量
若要专注于 HTTP 流量：
捕获过滤器：
tcp port 80
显示过滤器：
http
捕获过滤器将只捕获 HTTP 流量，而显示过滤器将进一步筛选出 HTTP 协议相关的数据包。
诊断 DNS 问题
若要诊断 DNS 查询和响应：
捕获过滤器：
port 53
显示过滤器：
dns
这些过滤器将帮助你捕获和分析 DNS 相关的数据包，识别潜在的问题。
五、保存和分析捕获文件
·保存捕获数据
捕获完成后，可以将数据保存为文件：
点击“文件”>“保存为”。
选择文件格式（如 .pcap）和保存位置。
·分析捕获文件
重新打开捕获文件，可以使用显示过滤器进行详细分析：
在主界面的顶部输入框中输入显示过滤器。
按“Enter”键应用过滤器。
WireShark 将根据过滤条件显示符合条件的数据包，帮助用户分析和诊断网络问题。
六、总结
WireShark 是一个强大的网络协议分析工具，通过数据包捕获和过滤器功能，用户可以深入了解网络流量和协议行为。掌握数据包捕获和过滤器的使用，可以帮助用户高效地进行网络故障排除、安全分析和协议开发。通过设置合适的捕获和显示过滤器，用户可以快速定位和解决网络问题，优化网络性能，并确保网络安全。
来源：
https://developer.aliyun.com/article/1591405
https://cloud.tencent.com/developer/article/2416865
https://cloud.tencent.com/developer/article/1057259
https://developer.aliyun.com/article/1591405
https://cloud.tencent.com/developer/article/2416865
https://cloud.tencent.com/developer/article/1057259