❝作为网络工程师和安全分析师必备技能，Wireshark 可以说是网络分析领域的"瑞士军刀"。无论是排查网络故障、分析安全事件，还是优化网络性能，掌握 Wireshark 都能让你事半功倍。
🎯 为什么要学 Wireshark？在日常运维工作中，我们经常遇到这些头疼问题：
网络莫名其妙断线：用户抱怨网络慢，但不知道问题出在哪安全事件调查：怀疑系统被入侵，需要分析网络流量找证据应用性能问题：数据库连接慢，API 响应超时，排查困难协议学习需求：想深入理解 TCP/IP、HTTP、TLS 等协议工作原理这时候，Wireshark 就成了我们的"火眼金睛"，能够透视网络流量的每一个细节。
🚀 快速上手：基础操作篇界面导航快捷键掌握这些快捷键，分析效率翻倍：
快捷键
功能
使用场景
Ctrl+F
搜索数据包
查找特定内容
Ctrl+G
跳转到指定包
快速定位
Ctrl+M
标记数据包
重点关注
Ctrl++ / Ctrl+-
放大缩小
调整显示
启动抓包的正确姿势选择网卡：选择正确的网络接口（WiFi 或以太网）设置捕获过滤器：避免抓到无关流量调整缓冲区：大流量环境下增加缓冲区大小关闭域名解析：提升抓包性能💡 小贴士：新手建议先不设置过滤器，抓取一段时间后再用显示过滤器分析。
🔍 过滤器精通：找到你要的数据包显示过滤器：分析利器显示过滤器是 Wireshark 的核心功能，语法简单但功能强大：
IP 地址过滤代码语言：javascript代码运行次数：0运行复制ip.src == 192.168.1.100 # 源IP
ip.dst == 192.168.1.1 # 目标IP
ip.addr == 192.168.1.0/24 # IP段
!(ip.addr == 192.168.1.1) # 排除IP
端口过滤代码语言：javascript代码运行次数：0运行复制tcp.port == 80 # HTTP流量
tcp.port == 443 # HTTPS流量
tcp.port == 22 # SSH流量
tcp.port >= 1000 and tcp.port <= 2000 # 端口范围
HTTP 专用过滤器代码语言：javascript代码运行次数：0运行复制http.request.method == "POST" # POST请求
http.response.code == 404 # 404错误
http.host == "www.example.com" # 特定域名
http.user_agent contains "Chrome" # 浏览器类型
http.time > 1.0 # 响应时间超过1秒
高级组合技巧代码语言：javascript代码运行次数：0运行复制# 逻辑组合
(tcp.port == 80 or tcp.port == 443) and ip.src == 192.168.1.100
# 内容搜索
tcp contains "password" # 包含密码字段
http contains "admin" # 包含admin关键词
# 正则表达式
http.host matches ".*\\.com$" # 匹配.com域名
# 时间过滤
frame.time >= "2024-01-01 00:00:00" # 特定时间范围
捕获过滤器：提前筛选基于 BPF 语法，在抓包时就过滤：
代码语言：javascript代码运行次数：0运行复制host 192.168.1.1 # 特定主机
port 80 # 特定端口
host 192.168.1.1 and port 80 # 组合条件
not port 22 # 排除SSH
🔧 协议分析：深入网络内部TCP 连接分析TCP 是网络通信的基础，掌握 TCP 分析是必备技能：
连接建立分析
查找三次握手：SYN → SYN-ACK → ACK连接重置：tcp.flags.reset == 1连接超时：tcp.analysis.retransmission性能问题诊断
代码语言：javascript代码运行次数：0运行复制tcp.analysis.retransmission # TCP重传
tcp.analysis.duplicate_ack # 重复ACK
tcp.analysis.zero_window # 窗口为零
tcp.analysis.out_of_order # 包乱序
实战技巧：右键数据包选择 "Follow TCP Stream" 可以看到完整的 TCP 会话内容。
HTTP 流量分析Web 应用问题排查的核心：
代码语言：javascript代码运行次数：0运行复制# 错误响应分析
http.response.code >= 400 # 客户端和服务器错误
# 性能分析
http.time > 2.0 # 慢速响应
http.content_length > 1000000 # 大文件传输
# 安全分析
http.request.uri contains "union" # SQL注入尝试
http.request.uri contains "