1. Wireshark入门从零开始捕获第一个数据包第一次打开Wireshark时满屏跳动的数据包可能会让人不知所措。别担心我们先从最基础的抓包操作开始。安装好Wireshark后你会看到一个列出了所有网络接口的界面。这里有个实用技巧观察接口右侧的波形图波动最明显的通常就是你正在使用的活跃网卡。选择正确的网卡后点击Start你会立即看到数据包如潮水般涌来。这时候需要快速设置捕获过滤器比如只想看HTTP流量就输入tcp port 80。我刚开始用的时候经常忘记设过滤器结果抓了几万个无关包电脑卡得动弹不得——这是个典型的反面教材。关键操作步骤在捕获选项中选择Promiscuous mode混杂模式这样能抓到网卡经过的所有流量设置Capture Filter为host 你的IP可以只捕获与本机相关的流量点击工具栏的鲨鱼鳍图标开始/停止捕获提示在公共场所使用时请务必注意隐私保护不要捕获含有敏感信息的明文数据如未加密的网站登录信息2. 过滤大师精准定位问题数据包Wireshark最强大的功能莫过于它的过滤器系统。有次我排查一个网页加载慢的问题通过http.time 1这个过滤器瞬间就找到了响应时间超过1秒的所有HTTP请求效率比肉眼筛查高了十倍不止。常用过滤器锦囊tcp.port 443 # 只看HTTPS流量 ip.src 192.168.1.100 # 特定源IP frame.time_relative 60 # 捕获60秒后的流量 http contains login # 包含关键字的HTTP请求显示过滤器和捕获过滤器是两套不同语法新手容易混淆。记住捕获过滤器用在抓包前语法更简单显示过滤器用在抓包后功能更强大。比如想抓微信流量捕获过滤器用port 80 or port 443抓到后再用显示过滤器tls.handshake.extensions_server_name contains weixin精确定位。3. 七层拆解用侦探思维分析网络报文3.1 物理层数据帧的身份证每个Frame就像快递包裹的外箱记录着包裹大小、到达时间等元数据。重点看Frame部分的几个关键字段Arrival Time数据包到达的精确时间分析延迟的关键Frame Length原始长度vs捕获长度判断是否截断Protocols in frame包含的协议栈快速了解数据包类型我曾通过对比连续帧的Time delta字段发现某个设备每隔30毫秒就发送异常广播包最终定位到是故障网卡导致的网络风暴。3.2 数据链路层MAC地址的舞台Ethernet II头部就像快递单上的收发地址Destination: 38:97:d6:b4:e0:01 (Hangzhou_b4:e0:01) Source: 4c:bb:58:8f:a0:03 (ChiconyE_8f:a0:03) Type: IPv4 (0x0800)这里藏着几个实用技巧厂商前缀如ChiconyE能帮助识别设备类型如果看到大量ff:ff:ff:ff:ff:ff的广播包可能存在ARP风暴Type字段0x0806是ARP0x0800是IPv40x86DD是IPv63.3 网络层IP包的全球快递系统IP头部就像国际快递的报关单重点关注Version: 4 # IPv4还是IPv6 TTL: 128 # 每经过路由减1小于64可能是远程流量 Protocol: 6 # 6TCP, 17UDP Source: 10.169.6.40 # 源IP Destination: 207.148.93.60 # 目的IPTTL值是个宝藏字段通过对比初始TTL和实际TTL可以估算数据包经过了多少跳路由。有次发现某跨国专线延迟高就是通过TTL变化发现数据包绕道了第三国。3.4 传输层TCP/UDP的交通管制TCP头部如同快递的物流跟踪系统Source Port: 56361 # 随机客户端端口 Destination Port: 443 # HTTPS标准端口 Sequence number: 376 # 数据包序号 Acknowledgment number: 30 # 确认号 Flags: 0x010 (ACK) # 控制标志位 Window size: 256 # 流量控制窗口TCP标志位详解SYN建立连接第一次握手ACK确认接收第二次握手FIN结束连接礼貌分手RST强制断开拉黑名单PSH催促接收方立即处理URG紧急数据现在很少用分析TCP重传有个诀窍在Wireshark中输入tcp.analysis.retransmission所有重传包一目了然。如果看到连续重传基本可以确定网络存在丢包。3.5 应用层读懂业务语言的密码HTTP协议就像快递里的商品说明书GET /index.html HTTP/1.1 # 请求行 Host: www.example.com # 必需的头字段 User-Agent: curl/7.68.0 # 客户端标识HTTPS流量虽然加密但通过TLS握手阶段的Client Hello仍能获取关键信息Extension: server_name # 包含实际访问的域名 Length: 16 Server Name Indication extension Server Name: www.taobao.com4. 实战演练诊断网页加载缓慢问题去年我处理过一个典型案例某电商网站首页加载需要15秒。按照这个流程分析捕获完整访问过程清空浏览器缓存后用Wireshark捕获从输入URL到页面完全加载的流量筛选关键流量http and ip.addr 180.101.49.12 # 淘宝首页IP分析时间线首次TCP握手到收到SYN-ACK用了2.3秒网络延迟高图片下载过程中有多次TCP重传网络质量差某个JS文件服务端响应耗时4秒后端性能瓶颈分层定位物理层帧长度正常无CRC错误传输层多个TCP ZeroWindow提示接收方处理不过来应用层发现未启用HTTP/2大量串行请求最终发现是CDN节点选择不当HTTP/1.1的队头阻塞共同导致的性能问题。通过改用HTTP/2和调整CDN策略加载时间降到3秒内。高级技巧右键任意包选Follow - TCP Stream看完整会话统计菜单里的Flow Graph能生成交互时序图IO Graphs可以绘制流量变化曲线Wireshark就像网络世界的X光机掌握分层分析法后再复杂的网络问题也能抽丝剥茧。建议新手从每天分析10个常见协议包开始一个月后你就能直观看懂网络流量了。
