1. Wireshark入门网络抓包的基本功第一次接触Wireshark时我被它密密麻麻的数据流界面吓到了——直到发现它其实是网络工程师的听诊器。这个开源工具能让我们看到网络通信最原始的模样就像给网络流量做了个X光扫描。安装过程简单到不像专业工具官网下载对应版本一路点击下一步就行。启动后你会看到所有网卡列表这里有个新手常踩的坑——一定要选正在使用的网卡。我经常用ipconfigWindows或ifconfigMac/Linux确认活跃网卡比如连接WiFi时就选WLAN接口。核心界面分为三块黄金区域数据包列表像快递物流表显示时间、源IP、目标IP、协议等关键信息数据包详情像解剖报告用分层方式展示从物理层到应用层的完整数据十六进制视图像DNA编码原始二进制数据分析高级问题时才会用到提示点击菜单栏的视图-颜色规则可以自定义不同协议的颜色标记我习惯把HTTP设为亮绿色TCP设成蓝色这样一眼就能定位关键流量。2. ARP协议抓包实战局域网的身份识别上周公司打印机突然无法连接我用Wireshark抓包发现ARP请求没有响应最终定位是交换机端口故障。ARP地址解析协议就像局域网的身份证查验系统负责把IP地址翻译成物理MAC地址。抓包实验步骤清空本机ARP缓存命令arp -d *Wireshark过滤器输入arp在命令行ping同局域网的另一台设备如ping 192.168.1.105你会看到两个关键包ARP请求广播询问谁是192.168.1.105Opcode1ARP响应目标设备回复我是我的MAC是...Opcode2关键字段解读| 字段名 | 示例值 | 实际含义 | |---------------------|----------------------|----------------------------| | Hardware type | 1 (Ethernet) | 硬件类型 | | Sender MAC address | 00:1a:2b:3c:4d:5e | 发送方网卡物理地址 | | Target IP address | 192.168.1.105 | 要查询的目标IP | | Opcode | 1/2 | 1请求, 2响应 |实测中发现个有趣现象如果持续ping一个不存在的主机ARP请求会以指数退避方式重试第1秒、3秒、7秒...这是网络协议的优雅设计。3. ICMP协议分析网络世界的回声探测ICMP最著名的应用就是ping命令。曾经有台服务器能ping通但SSH连不上通过分析ICMP响应时间我发现存在严重的网络抖动问题。深度抓包演示在Wireshark输入过滤条件icmp命令行执行ping www.baidu.com观察8个ICMP包4请求4响应关键字段精讲Type 8回声请求你的ping命令Type 0回声应答对方的回复Identifier类似会话ID匹配请求与响应Sequence number序列号检测丢包Data默认32字节包含发送时间戳可用ping -l修改大小# 实际ping命令的高级用法 ping -n 10 -l 1000 -i 200 www.baidu.com # -n 指定次数 # -l 设置数据包大小 # -i 设置TTL值通过对比请求与响应的时间差可以计算网络延迟。有次我发现某些包的延迟突然飙到500ms顺藤摸瓜找到了办公室微波炉干扰WiFi的奇葩案例。4. TCP三次握手网络连接的商务礼仪HTTP网页访问、SSH登录这些应用都建立在TCP连接之上。三次握手就像商业合作的建立过程客户端我想合作SYN服务器同意合作你确认吗SYNACK客户端确认合作ACK实战抓包技巧过滤器输入tcp.port 80抓HTTP流量浏览器访问任意HTTP网站找到[SYN]、[SYN, ACK]、[ACK]三个标志性数据包关键参数图解第一次握手 Sequence number: 0 (相对值) Flags: SYN1 第二次握手 Acknowledgment number: 1 (客户端SEQ1) Sequence number: 0 (服务端初始SEQ) Flags: SYN1, ACK1 第三次握手 Acknowledgment number: 1 (服务端SEQ1) Flags: ACK1遇到过最棘手的案例是客户端不断发送SYN但收不到响应最终发现是防火墙丢弃了SYN包。通过Wireshark的统计-流量图功能可以直观看到握手失败的位置。5. HTTP协议解析读懂网络通信的明信片虽然HTTPS已成主流但学习HTTP协议仍是理解应用层通信的基石。某次调试API接口时我通过分析HTTP头发现服务端没有返回Content-Length导致超时。抓包方法进阶过滤器输入http访问一个非HTTPS网站如http://example.com右键请求包 - 追踪流 - HTTP流HTTP请求关键要素请求行GET /index.html HTTP/1.1Host头虚拟主机识别User-Agent客户端身份Accept-*支持的格式类型HTTP响应关键要素HTTP/1.1 200 OK Server: nginx/1.18.0 Content-Type: text/html Connection: keep-alive html.../html有个调试技巧在Wireshark的编辑-首选项-Protocols-HTTP中可以设置TCP端口映射把非80端口的HTTP流量也解析出来。曾经帮同事发现他误把HTTP服务跑在8080端口却忘了在代码里声明。6. 高效过滤技巧大海捞针的艺术面对海量数据包时过滤语法就是你的雷达系统。这些经验来自我分析过300次网络故障的积累常用显示过滤器http.request.method GET筛选GET请求ip.src 192.168.1.100 tcp.port 443特定IP的HTTPS流量frame contains password搜索敏感内容tcp.analysis.retransmission查找重传包诊断网络质量捕获过滤器语法更节省资源host 8.8.8.8抓取特定IP的流量tcp portrange 8000-9000端口范围not arp排除ARP噪音有次排查DNS污染时我用了dns.qry.name contains google的过滤器快速定位到被劫持的域名查询请求。Wireshark的自动补全功能输入时按Tab键能帮你快速回忆过滤语法。7. 高级分析技巧网络诊断的福尔摩斯当基础分析不管用时这些进阶方法往往能出奇制胜IO图表分析点击统计-IO图表添加过滤条件如tcp.analysis.retransmission观察重传时间规律周期性丢包可能是链路问题专家信息 菜单分析-专家信息会汇总错误警告比如TCP ACKed unseen segment可能丢包Connection reset异常断开Follow TCP Stream 右键任意TCP包选择该选项能重组完整会话。有次分析SSH暴力破解时这个功能让我直接看到攻击者的操作命令。有个经典案例某电商APP偶尔加载失败通过tcp.time_delta过滤器发现某些TCP包的间隔异常最终定位是移动网络NAT会话超时时间设置过短导致。