Wireshark是一個專業的網絡抓包以及協議分析軟件，它可以實時檢測網絡通訊數據，也可以檢測其抓取的網絡通訊數據快照文件，最重要的是它是免費使用的，是網絡工程師的好幫手，讓其輕松的去抓包分析網絡，有需要的不要錯過。

【使用教程】

　　下面來說一下Wireshark在抓包后常用的過濾方法，給網絡初學者一個參考。

　　1、過濾源ip、目的ip。

　　在wireshark的過濾規則框Filter中輸入過濾條件。如查找目的地址為192.168.101.8的包，ip.dst==192.168.101.8；查找源地址為ip.src==1.1.1.1

　　2、端口過濾

　　如過濾80端口，在Filter中輸入，tcp.port==80，這條規則是把源端口和目的端口為80的都過濾出來。使用tcp.dstport==80只過濾目的端口為80的，tcp.srcport==80只過濾源端口為80的包

　　3、協議過濾

　　比較簡單，直接在Filter框中直接輸入協議名即可，如過濾HTTP的協議

　　4、http模式過濾

　　如過濾get包，http.request.method=="GET",過濾post包，http.request.method=="POST"

　　5、連接符and的使用。

　　過濾兩種條件時，使用and連接，如過濾ip為192.168.101.8并且為http協議的，ip.src==192.168.101.8 and http。

【過濾規則】

　　只抓取符合條件的包，在Wireshark通過winpacp抓包時可以過濾掉不符合條件的包，提高我們的分析效率。

　　如果要填寫過濾規則，在菜單欄找到capture->options,彈出下面對話框，在capture filter輸入框內填寫相應的過濾規則，點擊下方的start 就生效了。

　　1.只抓取HTTP報文

　　tcp port 80

　　解析：上面是只抓取tcp 協議中80端口的包，大部分Web網站都是工作在80端口的，如果碰到了81端口呢？可以使用邏輯運算符or唄！如 tcp port 80 or tcp port 81

　　2.只抓取arp報文

　　ether proto 0x0806

　　解析：ether表示以太網頭部，proto表示以太網頭部proto字段值為0x0806，這個字段的值表示是ARP報文，如果的ip報文此值為0x8000

　　3.只抓取與某主機的通信

　　host  網站名稱

　　只抓取服務器的通信,src表示源地址，dst表示目標地址

【顯示規則說明】

　　只是將已經抓取到的包進行過濾顯示。可以在軟件頁面下方的輸入框添入相應的規則點擊apply即可，如果需要清除這一次的顯示過濾點擊Clear即可

　　1、只顯示HTTP報文【tcp.port == 80】

　　2、只顯示ARP報文【eth.type == 0x806】

　　也許你會說Type后面的值記不住，沒關系可以點擊Expression會彈出Filter Expression窗口，如下圖：

　　3、只顯示與某主機的通信【ip.addr == 42.121.252.58】

　　4、只顯示ICMP報文【Icmp】

【常見問題】

　　一、抓包問題

　　1、無法捕獲數據包

　　可能原因：網絡適配器未正確配置、Wireshark未選擇正確的網絡接口、防火墻或安全軟件阻止等。

　　解決方案：檢查網絡適配器的設置，確保Wireshark選擇了正確的網絡接口。同時，檢查防火墻和安全軟件的設置，確保它們不會阻止Wireshark捕獲數據包。

　　2、捕獲的數據包不完整

　　可能原因：抓包方式引起，某些操作系統或抓包工具可能默認只捕獲數據包的一部分。

　　解決方案：在抓包時，可以嘗試使用更長的快照長度（snapshot length）來捕獲完整的數據包。例如，在tcpdump命令中使用“-s”參數指定想要抓的字節數。

　　3、捕獲到的是IPv6地址

　　在雙棧網絡中，系統可能優先使用IPv6。如果需要捕獲IPv4的數據包，可以設置系統優先使用IPv4。

　　二、數據分析問題

　　1、無法解析數據包

　　可能原因：Wireshark缺少相應的解碼器或協議分析器。

　　解決方案：確保Wireshark安裝了所有必要的協議分析器。對于某些特定的數據包或協議，可能需要從Wireshark的插件庫或第三方源下載額外的解碼器。

　　2、數據包顯示亂碼

　　可能原因：數據包的內容被加密或編碼，Wireshark無法直接解析。

　　解決方案：如果數據包被加密，可能需要提供正確的密鑰才能解析。對于編碼的數據包，可以嘗試使用適當的解碼器進行解碼。

　　三、其他常見問題

　　1、程序運行緩慢

　　可能原因：捕獲的數據量過大、系統資源不足等。

　　解決方案：嘗試減少捕獲的數據量，例如通過設置捕獲過濾器來只捕獲感興趣的數據包。同時，確保系統有足夠的資源（如CPU、內存和磁盤空間）來運行Wireshark。

　　2、程序崩潰或無響應

　　可能原因：軟件缺陷、與其他軟件的沖突等。

　　解決方案：嘗試更新到最新版本，以修復可能存在的軟件缺陷。同時，檢查是否有其他軟件與Wireshark沖突，并嘗試關閉這些軟件以解決問題。