Wireshark抓包实战教程从入门到精通 TCP/IP协议分析器如何排查网络故障与安全问题 – 资料库

引言：Wireshark在网络分析中的核心地位
Wireshark作为全球最流行的开源网络协议分析器，已经成为网络工程师、安全分析师和系统管理员的必备工具。它能够实时捕获网络数据包，并以人类可读的方式解析数百种网络协议。在网络故障排查、性能优化、安全审计和协议学习等方面发挥着不可替代的作用。
为什么选择Wireshark？
开源免费
：完全免费，跨平台支持（Windows、Linux、macOS）
功能强大
：支持2000+种协议解析
社区活跃
：持续更新，文档丰富
可视化界面
：直观的数据包展示方式
深度分析
：支持流量统计、IO图、TCP流分析等高级功能
第一部分：Wireshark基础入门
1.1 安装与初始配置
下载与安装
访问Wireshark官网（
https://www.wireshark.org/）下载对应操作系统的安装包。Windows用户建议选择稳定版（Stable
Release），Linux用户可通过包管理器安装：
# Ubuntu/Debian
sudo apt update
sudo apt install wireshark

# CentOS/RHEL
sudo yum install wireshark

# macOS
brew install wireshark
关键配置步骤
捕获权限设置（Linux/macOS）
# 将用户加入wireshark组（Ubuntu）
sudo usermod -a -G wireshark $USER

# 或者设置CAP_NET_RAW能力
sudo setcap ‘cap_net_raw,cap_net_admin=eip’ /usr/bin/dumpcap
Windows驱动安装
安装时选择”Install Npcap”（推荐）
勾选”Support raw 802.11 traffic”
完成后重启Wireshark
1.2 界面导航与核心功能
主界面布局
Wireshark的主界面分为三个主要区域：
菜单栏
：文件、编辑、视图、转到、捕获、分析、统计、帮助
工具栏
：常用操作的快捷方式（接口列表、开始捕获、停止等）
面板区域
：
Packet List
（数据包列表）：显示捕获的数据包摘要
Packet Details
（数据包详情）：解析选中数据包的协议层次
Packet Bytes
（数据包字节）：原始数据的十六进制和ASCII表示
首次捕获实战
步骤1：选择网络接口
点击工具栏的”接口列表”按钮（或Capture > Options）
识别活跃接口（有流量跳动的）
注意区分有线（Ethernet）和无线（WiFi）接口
步骤2：设置捕获过滤器
捕获过滤器使用BPF语法，在捕获前过滤数据：
# 只捕获HTTP流量
port 80

# 只捕获特定主机的流量
host 192.168.1.100

# 捕获两个主机之间的TCP流量
tcp and host 192.168.1.100 and host 192.168.1.200

# 捕获所有进出192.168.1.100的流量
host 192.168.1.100
步骤3：开始捕获
点击”开始”按钮（鲨鱼鳍图标）
执行需要分析的网络操作（如访问网页、ping命令）
点击”停止”按钮完成捕获
1.3 数据包基础分析
理解数据包结构
每个数据包在Wireshark中都包含三层信息：
Frame
：物理层信息，包括时间戳、长度、捕获长度
Ethernet II
：数据链路层，源/目的MAC地址
IP
：网络层，源/目的IP地址、TTL、协议类型
TCP/UDP
：传输层，端口号、序列号、标志位等
应用层
：HTTP、DNS、FTP等协议数据
实战：分析一次HTTP请求
场景
：在浏览器访问
http://example.com
捕获结果分析
：
Frame 1: 98 bytes on wire (784 bits), 98 bytes captured (784 bits)
Ethernet II, Src: Apple_12:34:56 (xx:xx:xx:xx:xx:xx), Dst: TPLink_78:90:ab (yy:yy:yy:yy:yy:yy)
Internet Protocol Version 4, Src: 192.168.1.100, Dst: 93.184.216.34
Transmission Control Protocol, Src Port: 54321, Dst Port: 80, Seq: 1, Ack: 1, Len: 0
Hypertext Transfer Protocol
GET / HTTP/1.1\r\n
Host: example.com\r\n
User-Agent: Mozilla/5.0\r\n
Accept: text/html\r\n
\r\n
关键点解读
：
时间戳
：精确到微秒，用于分析延迟
MAC地址
：确认数据是否到达正确的设备
IP地址
：验证源和目的地址是否正确
TCP端口
：确认应用层协议
HTTP内容
：检查请求是否符合预期
第二部分：TCP/IP协议深度解析
2.1 TCP协议核心机制
TCP三次握手详解
TCP连接建立过程是网络分析的基础。让我们通过Wireshark捕获来理解：
捕获过滤器
：
tcp and port 80
典型三次握手数据包
：
数据包1：SYN
Transmission Control Protocol, Src Port: 54321, Dst Port: 80, Seq: 0, Len: 0
Flags: 0x002 (SYN)
Window Size: 65535
Checksum: 0x1234 [validation disabled]
Urgent Pointer: 0
数据包2：SYN-ACK
Transmission Control Protocol, Src Port: 80, Dst Port: 54321, Seq: 0, Ack: 1, Len: 0
Flags: 0x012 (SYN, ACK)
Window Size: 29200
Checksum: 0x5678 [validation disabled]
Urgent Pointer: 0
数据包3：ACK
Transmission Control Protocol, Src Port: 54321, Dst Port: 80, Seq: 1, Ack: 1, Len: 0
Flags: 0x010 (ACK)
Window Size: 65535
Checksum: 0x9abc [validation disabled]
Wireshark会自动标记握手完成（[SYN], [SYN, ACK], [ACK]） TCP四次挥手分析
数据包1：FIN-ACK
Transmission Control Protocol, Src Port: 54321, Dst Port: 80, Seq: 456, Ack: 789, Len: 0
Flags: 0x011 (FIN, ACK)
数据包2：ACK
Transmission Control Protocol, Src Port: 80, Dst Port: 54321, Seq: 789, Ack: 457, Len: 0
Flags: 0x010 (ACK)
数据包3：FIN-ACK
Transmission Control Protocol, Src Port: 80, Dst Port: 54321, Seq: 789, Ack: 457, Len: 0
Flags: 0x011 (FIN, ACK)
数据包4：ACK
Transmission Control Protocol, Src Port: 54321, Dst Port: 1024, Seq: 457, Ack: 790, Len: 0
Flags: 0x010 (ACK)
注意
：实际中可能看到”半关闭”状态，即一方发送FIN后仍可接收数据。
2.2 TCP标志位详解
标志位
名称
作用
典型场景
SYN
同步
发起新连接
三次握手第一步
ACK
确认
确认收到数据
大多数数据包
FIN
结束
关闭连接
四次挥手
RST
重置
强制关闭连接
错误或拒绝
PSH
推送
立即推送数据
应用层请求
URG
紧急
紧急数据
特殊应用
实战：识别TCP问题
问题1：连接失败
现象
：只有SYN，没有SYN-ACK
可能原因
：服务器未监听、防火墙阻止、网络不可达
Wireshark分析
：过滤
tcp.flags.syn==1 and tcp.flags.ack==0
问题2：连接重置
现象
：大量RST包
可能原因
：服务器崩溃、端口扫描、应用异常
Wireshark分析
：过滤
tcp.flags.reset==1
问题3：连接缓慢
现象
：SYN重传多次
可能原因
：网络拥塞、丢包、服务器过载
Wireshark分析
：统计重传率
tcp.analysis.retransmission
2.3 IP协议分析
IP头部关键字段
Internet Protocol Version 4, Src: 192.168.1.100, Dst: 8.8.8.8
Version: 4
Header Length: 20 bytes
Differentiated Services Field: 0x00 (DSCP: CS0, ECN: Not-ECT)
Total Length: 84
Identification: 0x1234 (4660)
Flags: 0x02 (Don’t Fragment)
Fragment offset: 0
Time to Live: 64
Protocol: ICMP (1)
Header checksum: 0xabcd [validation disabled]
Source Address: 192.168.1.100
Destination Address: 8.8.8.8
TTL字段的妙用
TTL（Time To Live）用于防止数据包无限循环，每经过一个路由器减1。利用TTL可以：
判断操作系统
：
Windows默认TTL: 128
Linux默认TTL: 64
Cisco设备默认TTL: 255
追踪路由路径
：
# 使用Wireshark配合ping命令
ping -i 1 8.8.8.8 # 设置TTL=1，捕获第一个路由器的回复
ping -i 2 8.8.8.8 # TTL=2，捕获第二个路由器回复
IP分片分析
当数据包超过MTU（通常1500字节）时会分片：
Internet Protocol Version 4, Src: 192.168.1.100, Dst: 8.8.8.8
…Flags: 0x01 (More Fragments)
Fragment offset: 1480
分析要点
：
检查是否有分片丢失（偏移不连续）
过滤
ip.flags.mf==1
查找分片包
注意：分片会严重影响性能
第三部分：网络故障排查实战
3.1 连接性问题排查
场景1：无法访问网站
排查步骤
：
步骤1：DNS解析检查
# 捕获过滤器
udp port 53
正常DNS查询流程
：
客户端 → 本地DNS服务器：标准查询 A example.com
本地DNS → 根DNS：迭代查询
根DNS → 本地DNS：参考答案
本地DNS → 客户端：响应 A 93.184.216.34
异常情况
：
无响应：DNS服务器故障
响应慢：DNS服务器性能问题
返回错误IP：DNS劫持
步骤2：TCP连接检查
# 捕获过滤器
tcp and host 93.184.216.34
常见问题
：
SYN无响应
：服务器不可达或防火墙阻止
SYN-ACK后RST
：端口未开放
连接建立后RST
：应用层错误
场景2：网络延迟高
分析方法
：
1. 使用Wireshark的IO图
Statistics > IO Graph
X轴：时间间隔（1秒）
Y轴：包/秒或字节/秒
观察流量峰值和异常模式
2. TCP流图分析
右键数据包 > Follow > TCP Stream
选择”Graph > Time Sequence (tcptrace)”
观察序列号随时间变化，识别重传和延迟
3. 计算RTT（往返时间）
# 显示过滤器
tcp.analysis.ack_rtt
实例分析
：
Frame 1: SYN
Frame 2: SYN-ACK (RTT: 0.123ms)
Frame 3: ACK
Frame 4: HTTP GET
Frame 5: ACK + HTTP Response (RTT: 45.678ms)
结论
：网络延迟主要在服务器处理阶段
3.2 重传与丢包分析
识别重传
显示过滤器
：
tcp.analysis.retransmission
重传原因
：
网络丢包
：链路质量差
服务器过载
：无法及时处理
防火墙丢弃
：策略限制
客户端问题
：发送过快
实战：分析重传率
步骤
：
捕获完整TCP会话
Statistics > TCP Stream Graph > Round Trip Time Graph
观察RTT分布和重传标记
计算公式
：
重传率 = (重传包数 / 总发送包数) × 100%
健康标准
：
< 0.1%：正常 0.1% - 1%：轻微问题 > 1%：严重问题
案例：数据库连接缓慢
问题描述
：应用服务器连接MySQL数据库缓慢
排查过程
：
# 捕获过滤器
tcp and port 3306 and host 192.168.1.50
发现
：
大量TCP重传（重传率2.3%）
RTT从平均1ms突增至200ms
网络设备日志显示端口错误
根因
：交换机端口双工不匹配，导致丢包
解决
：将交换机和服务器端口都设置为全双工
3.3 应用层协议分析
HTTP分析
捕获过滤器
：
tcp port 80 or tcp port 443
HTTP请求分析
：
Hypertext Transfer Protocol
GET /api/user/profile HTTP/1.1\r\n
Host: api.example.com\r\n
Authorization: Bearer xxxxx\r\n
User-Agent: MyApp/1.0\r\n
Accept: application/json\r\n
\r\n
HTTP响应分析
：
Hypertext Transfer Protocol
HTTP/1.1 200 OK\r\n
Content-Type: application/json\r\n
Content-Length: 1234\r\n
Server: nginx/1.18.0\r\n
\r\n
[Response payload]
常见HTTP问题
：
404 Not Found
：URL错误
500 Internal Server Error
：服务器异常
401
⁄
403
：权限问题
响应慢
：服务器处理时间长或网络延迟
DNS分析
DNS查询类型
：
A记录
：IPv4地址
AAAA记录
：IPv6地址
CNAME
：别名
MX
：邮件服务器
NS
：域名服务器
DNS问题排查
：
# 显示过滤器
dns.flags.rcode != 0
常见错误码
：
NXDOMAIN
：域名不存在
SERVFAIL
：服务器故障
REFUSED
：服务器拒绝查询
3.4 局域网问题排查
ARP问题
ARP协议
：IP地址到MAC地址的映射
捕获过滤器
：
arp
ARP请求/响应
：
Address Resolution Protocol (request)
Hardware type: Ethernet (1)
Protocol type: IPv4 (0x0800)
Hardware size: 6
Protocol size: 4
Opcode: request (1)
Sender MAC address: Apple_12:34:56
Sender IP address: 192.168.1.100
Target MAC address: 00:00:00:00:00:00
Target IP address: 192.168.1.1
ARP风暴
：大量ARP请求，通常由环路或ARP扫描引起
DHCP问题
捕获过滤器
：
udp port 67 or udp port 68
DHCP四步流程
：
Discover
：客户端广播寻找DHCP服务器
Offer
：服务器提供IP地址
Request
：客户端请求该IP
Ack
：服务器确认
常见问题
：
无Offer：DHCP服务器故障
IP冲突：服务器分配了已使用的IP
租约过短：频繁续约影响性能
第四部分：网络安全问题排查
4.1 端口扫描检测
识别扫描行为
场景
：检测Nmap SYN扫描
特征
：
大量SYN包到不同端口
无后续ACK（半开连接）
时间间隔均匀
Wireshark分析
：
# 显示过滤器：查找大量SYN到不同端口
tcp.flags.syn==1 and tcp.flags.ack==0

# 统计特定IP的端口访问
Statistics > Endpoints > IPv4
选择IP > Apply as Filter > Selected
实例
：
Frame 1: SYN to port 80
Frame 2: SYN to port 443
Frame 3: SYN to port 22
Frame 4: SYN to port 21
…
结论
：192.168.1.200正在扫描192.168.1.50的端口
检测ACK扫描
tcp.flags.ack==1 and tcp.flags.syn==0
特征
：大量ACK包到不同端口，用于防火墙探测
4.2 恶意流量识别
异常流量模式
1. 大量ICMP请求
icmp and ip.src==192.168.1.100
可能
：ICMP洪水攻击
2. 异常端口通信
tcp.port<1024 and not (tcp.port==80 or tcp.port==443 or tcp.port==22) 可能：后门程序通信 3. DNS隧道检测 dns and length(dns.qry.name)>50
特征
：异常长的DNS查询名，用于数据外泄
案例：检测数据外泄
场景
：怀疑内部主机向外发送敏感数据
排查步骤
：
捕获所有流量
（无过滤器）
统计大流量连接
：
Statistics > Conversations
按Bytes排序
分析异常连接
：
目标IP：未知外部IP
协议：DNS（异常长查询）
流量：持续小包
发现
：DNS查询名包含Base64编码数据
证据
：
dns.qry.name: aGVsbG8udHJ1c3RlZC5kb21haW4uY29t
解码：hello.trusted.domain.com
4.3 加密流量分析
SSL/TLS分析
前提
：需要服务器私钥（仅用于自有系统分析）
配置步骤
：
设置SSL密钥日志
：
Edit > Preferences > Protocols > TLS
设置”(Pre)-Master-Secret log filename”
捕获HTTPS流量
：
tcp port 443
解密分析
：
右键数据包 > Decode As > SSL
查看解密后的HTTP流量
无密钥分析
即使没有私钥，仍可分析TLS握手：
Client Hello
：
Transport Layer Security
TLSv1.2 Record Layer: Handshake Protocol: Client Hello
Version: TLS 1.2
Cipher Suites (16 suites)
Cipher Suite: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 (0xc02f)
Compression Methods: 1 method
Extensions: 31
分析要点
：
协议版本
：TLS 1.0/1.1已不安全
加密套件
：弱套件（如RC4、DES）存在风险
证书
：过期、自签名、不受信任
4.4 网络钓鱼检测
HTTP流量中的可疑特征
1. 可疑域名
http.host contains “secure-login”
特征
：模仿银行域名的假域名
2. 异常重定向
HTTP/1.1 302 Found
Location: http://malicious-site.com/login.php
3. 下载可执行文件
http.content_type contains “executable”
案例：钓鱼邮件附件下载
场景
：用户点击邮件链接下载恶意附件
Wireshark捕获
：
Frame 1: DNS查询 phishing-site.com
Frame 2: HTTP GET /invoice.exe
Frame 3: HTTP响应 200 OK (Content-Type: application/x-msdownload)
Frame 4: TCP数据传输（可执行文件内容）
分析
：
可疑域名：phishing-site.com
下载可执行文件：invoice.exe
无数字签名验证
应对
：立即隔离主机，检查进程
第五部分：高级技巧与最佳实践
5.1 显示过滤器高级语法
逻辑组合
# 与（AND）
tcp and http and ip.src==192.168.1.100

# 或（OR）
tcp.port==80 or tcp.port==443

# 非（NOT）
not arp and not dns

# 括号分组
(tcp.port==80 or tcp.port==443) and ip.dst==192.168.1.50
协议字段过滤
# TCP标志位
tcp.flags.syn==1
tcp.flags.reset==1
tcp.flags.push==1

# IP字段
ip.ttl<10 ip.flags.df==1 # 不允许分片 # HTTP字段 http.request.method=="POST" http.response.code==200 http.user_agent contains "Mozilla" # DNS字段 dns.flags.response==1 dns.qry.type==1 # A记录比较运算符 # 数值比较 frame.len > 1500
tcp.analysis.ack_rtt > 0.1 # RTT > 100ms

# 包含
http.host contains “api”
dns.qry.name endswith “.com”

# 范围
tcp.port >= 1024 and tcp.port <= 65535 5.2 统计与分析工具 1. Conversations（会话统计）路径：Statistics > Conversations
用途
：
识别流量最大的IP对
发现异常连接
分析协议分布
实例
：
IPv4 Conversations
Address A Address B Packets Bytes
192.168.1.100 8.8.8.8 15,432 12.3MB
192.168.1.100 192.168.1.50 8,765 2.1MB
192.168.1.200 192.168.1.1 1,234 0.5MB
发现
：192.168.1.100与8.8.8.8流量异常大
2. IO Graph（流量图）
路径
：Statistics > IO Graph
配置
：
X轴：时间间隔（1秒）
Y轴：包/秒
过滤器：
tcp.analysis.retransmission
用途
：
识别流量峰值
关联事件与流量
分析周期性模式
3. Flow Graph（流图）
路径
：Statistics > Flow Graph
用途
：
可视化TCP连接过程
识别重传和丢包
分析时序问题
5.3 命令行工具（tshark）
基础用法
# 捕获到文件
tshark -i eth0 -w capture.pcap

# 捕获并实时显示
tshark -i eth0 -f “tcp port 80” -V

# 读取已有文件
tshark -r capture.pcap -Y “http.request”
高级统计
# 统计IP地址
tshark -r capture.pcap -q -z io,stat,1,”ip.addr”

# 统计TCP流
tshark -r capture.pcap -q -z conv,tcp

# 统计HTTP请求方法
tshark -r capture.pcap -q -z http_stat,req,method
实战：批量分析
# 查找所有重传
tshark -r capture.pcap -Y “tcp.analysis.retransmission” -T fields -e frame.number -e ip.src -e ip.dst -e tcp.port

# 统计每个IP的重传数
tshark -r capture.pcap -Y “tcp.analysis.retransmission” -T fields -e ip.src | sort | uniq -c | sort -nr
5.4 性能优化技巧
捕获优化
1. 使用捕获过滤器
# 只捕获需要的流量，减少文件大小
tcp and host 192.168.1.100 and portrange 80-443
2. 限制捕获长度
# 只捕获头部，不捕获数据
tshark -i eth0 -s 96 -w capture.pcap
3. 循环捕获
# 限制文件大小和数量
tshark -i eth0 -b filesize:100000 -b files:10 -w capture.pcap
分析优化
1. 使用显示过滤器
避免在捕获时过滤
先捕获后分析，更灵活
2. 关闭不需要的协议解析
Edit > Preferences > Protocols
禁用不相关的协议
3. 使用颜色标记
View > Coloring Rules
快速识别重要数据包
5.5 自动化分析脚本
Python + PyShark示例
#!/usr/bin/env python3
import pyshark
import sys

def analyze_capture(file_path):
“””分析捕获文件，找出重传和异常”””
cap = pyshark.FileCapture(file_path)

retransmissions = []
suspicious_ips = {}

for packet in cap:
# 检测重传
if ‘TCP’ in packet and hasattr(packet.tcp, ‘analysis_retransmission’):
retransmissions.append({
‘frame’: packet.frame_info.number,
‘src’: packet.ip.src,
‘dst’: packet.ip.dst,
‘port’: packet.tcp.dstport
})

# 统计异常IP（大量SYN无ACK）
if ‘TCP’ in packet:
if packet.tcp.flags_syn == ‘1’ and packet.tcp.flags_ack == ‘0’:
src_ip = packet.ip.src
suspicious_ips[src_ip] = suspicious_ips.get(src_ip, 0) + 1

# 输出报告
print(“=== 重传分析 ===”)
for ret in retransmissions[:10]: # 显示前10个
print(f”Frame {ret[‘frame’]}: {ret[‘src’]} -> {ret[‘dst’]}:{ret[‘port’]}”)

print(“\n=== 可疑IP（大量SYN）===”)
for ip, count in sorted(suspicious_ips.items(), key=lambda x: x[1], reverse=True):
if count > 100:
print(f”{ip}: {count} SYN packets”)

if __name__ == ‘__main__’:
if len(sys.argv) != 2:
print(“Usage: python analyze.py capture.pcap”)
sys.exit(1)
analyze_capture(sys.argv[1])
Bash自动化分析
#!/bin/bash
# 快速分析脚本

CAPTURE_FILE=$1

echo “=== 网络分析报告 ===”
echo “文件: $CAPTURE_FILE”

# 统计基本信息
echo -e “\n1. 数据包统计:”
tshark -r $CAPTURE_FILE -q -z io,stat,0

# 重传统计
echo -e “\n2. 重传数据包:”
tshark -r $CAPTURE_FILE -Y “tcp.analysis.retransmission” | wc -l

# 流量最大的IP
echo -e “\n3. 流量TOP 5 IP:”
tshark -r $CAPTURE_FILE -q -z conv,ip | sort -k5 -nr | head -6

# 异常端口
echo -e “\n4. 非标准端口通信:”
tshark -r $CAPTURE_FILE -Y “tcp.port<1024 and not (tcp.port==80 or tcp.port==443 or tcp.port==22)" | head -5 第六部分：实战案例综合案例1：Web服务器响应缓慢问题：用户反馈网站打开慢排查过程：步骤1：捕获流量 # 在客户端或服务器端捕获 tcp port 80 and host 192.168.1.50 步骤2：分析TCP握手 Frame 1: SYN (0.000s) Frame 2: SYN-ACK (0.150s) ← 延迟150ms Frame 3: ACK (0.151s) 发现：握手延迟高步骤3：分析HTTP请求 Frame 4: HTTP GET (0.151s) Frame 5: ACK (0.152s) Frame 6: HTTP Response (2.345s) ← 服务器处理2.2秒发现：服务器处理时间过长步骤4：检查服务器资源 CPU正常内存正常发现：MySQL查询慢根因：数据库索引缺失导致查询慢解决：添加索引，响应时间降至200ms 案例2：间歇性连接中断问题：SSH连接经常断开排查过程：步骤1：捕获SSH流量 tcp port 22 步骤2：分析断开时刻 Frame 1234: 正常数据 Frame 1235: TCP Keep-Alive Frame 1236: RST 发现：服务器发送RST导致断开步骤3：检查服务器日志 Sep 15 10:23:45 server sshd[1234]: Connection closed by 192.168.1.100 [preauth] 步骤4：网络设备检查防火墙会话超时设置过短（300秒） SSH Keep-Alive间隔（60秒）< 防火墙超时解决：调整防火墙超时至1800秒配置SSH ClientAliveInterval 120 案例3：检测ARP欺骗场景：内网出现中间人攻击排查步骤：步骤1：捕获ARP流量 arp 步骤2：识别异常 Frame 1: ARP Who-has 192.168.1.1 tell 192.168.1.100 Frame 2: ARP Reply 192.168.1.1 is-at aa:bb:cc:dd:ee:ff ( attacker MAC) Frame 3: ARP Reply 192.168.1.1 is-at 00:11:22:33:44:55 (real MAC) 发现：同一IP有两个MAC响应步骤3：确认攻击源 # 统计ARP响应 tshark -r capture.pcap -Y "arp.opcode==2" -T fields -e arp.src.hw_mac -e arp.src.proto_ipv4 | sort | uniq -c 结果： 150 aa:bb:cc:dd:ee:ff 192.168.1.1 1 00:11:22:33:44:55 192.168.1.1 结论：MAC为aa:bb:cc:dd:ee:ff的设备在发送虚假ARP响应应对：隔离该设备，清除ARP缓存案例4：DNS劫持检测场景：访问银行网站被导向钓鱼页面排查过程：步骤1：捕获DNS查询 udp port 53 and dns 步骤2：分析查询响应 Frame 1: DNS Query: www.bank.com Frame 2: DNS Response: 203.0.113.45 ← 异常IP 步骤3：验证真实IP # 使用公共DNS验证 dig @8.8.8.8 www.bank.com # 返回 198.51.100.123 步骤4：检查本地DNS设置发现DNS被篡改为 192.168.1.100 该DNS服务器返回虚假记录根因：路由器DNS被劫持解决：重置路由器，修改DNS为可信服务器案例5：DDoS攻击分析场景：服务器收到大量请求，性能下降排查过程：步骤1：捕获流量 # 在服务器网卡捕获 tcp port 80 步骤2：统计源IP tshark -r attack.pcap -q -z conv,ip | sort -k5 -nr | head 结果： 192.168.1.100 10.0.0.1 150000 120MB 192.168.1.101 10.0.0.1 148000 118MB ... 发现：大量不同IP访问服务器步骤3：分析请求模式 tshark -r attack.pcap -Y "http.request" -T fields -e http.request.uri | sort | uniq -c | sort -nr | head 结果： 50000 /wp-login.php 49000 /xmlrpc.php 1000 /index.html 发现：集中在登录页面步骤4：识别攻击特征请求频率：每秒数百次 User-Agent：随机字符串来源：全球分布结论：DDoS攻击（应用层）应对：启用WAF 限制IP频率临时屏蔽攻击IP段第七部分：最佳实践与注意事项 7.1 捕获策略何时捕获问题发生时：实时捕获优于事后分析多点捕获：客户端和服务器同时捕获，便于对比持续捕获：使用循环捕获，保留历史数据捕获位置选择位置优点缺点适用场景客户端直接反映用户体验无法看到服务器处理用户端问题服务器看到完整处理过程可能错过客户端问题服务器问题网络设备全网视角需要端口镜像网络问题 7.2 安全与合规敏感数据处理警告：捕获流量可能包含密码、Cookie等敏感信息保护措施：访问控制：限制捕获文件访问权限 chmod 600 capture.pcap 数据脱敏： # 使用tshark编辑脱敏 tshark -r capture.pcap -w sanitized.pcap \ -T fields -e ip.src -e ip.dst -e tcp.port | sed 's/[0-9]/x/g' 定期清理：设置自动删除策略法律合规仅分析自有系统：未经授权捕获他人流量违法企业政策：遵守公司数据安全政策审计日志：记录捕获操作 7.3 性能考虑捕获性能高流量环境：使用捕获过滤器减少数据量关闭不必要的协议解析使用SSD存储考虑专用捕获设备（如Endace）分析性能大文件处理：使用显示过滤器缩小范围分段分析（使用范围过滤器）使用tshark命令行处理增加Wireshark内存限制 7.4 持续学习推荐资源官方文档： https://wiki.wireshark.org/ 显示过滤器参考： https://www.wireshark.org/docs/dfref/ 协议参考： https://www.wireshark.org/docs/protos/ 社区论坛： https://ask.wireshark.org/ 练习建议搭建实验环境：使用虚拟机创建网络模拟问题：使用tc命令模拟延迟和丢包分析正常流量：建立基线参与CTF ：通过网络安全竞赛练习总结 Wireshark是网络分析的利器，掌握它需要理论与实践相结合。关键要点：基础扎实：理解TCP/IP协议栈是前提过滤器熟练：快速定位问题是关键系统思维：结合系统日志、网络设备综合分析安全意识：合规使用，保护数据安全持续实践：通过真实案例积累经验通过本教程的学习，您应该能够： ✅ 独立完成网络故障排查 ✅ 识别常见安全威胁 ✅ 进行协议深度分析 ✅ 使用高级功能优化分析效率记住：Wireshark只是工具，真正的价值在于分析者的网络知识和逻辑思维。保持好奇心，持续学习，您将成为网络分析专家！