Wireshark：全球领先的网络协议分析器 #

Wireshark 是什么？ #

Wireshark 是一款免费开源的网络协议分析器（network protocol analyzer），也是目前全球使用最广泛的数据包抓取与分析工具。它能够捕获计算机网卡上实时流动的网络流量，并以交互式的方式逐层浏览、过滤和解读数据包内容，支持深度检查数百种网络协议。

无论你是排查网络卡顿、定位连接超时、分析协议交互异常，还是学习 TCP/IP 原理、验证设备通信行为，Wireshark 都能提供从链路层到应用层的完整可见性。它运行在 Windows、macOS、Linux 与 UNIX 等主流平台上，采用 GNU 通用公共许可证（GPL）发布，无任何功能阉割，也无需支付许可费用，由非营利的 Wireshark 基金会维护并由全球志愿者社区持续开发。

Wireshark 有哪些亮点特色？ #

• 全球领先的协议解析能力：官网将 Wireshark 定义为“the world's leading network protocol analyzer”，可对数百种网络协议进行深度检查，从以太网、IP、TCP/UDP 到 HTTP、DNS、TLS 等应用层协议逐层展开。
• 完全免费且开源：基于 GNU GPL 第 2 版发布，下载的即是完整版而非试用版或演示版，没有功能限制，源码可自由获取、审计与二次开发。
• 全球规模的使用者与贡献者社区：官网数据显示年下载量超过 2000 万次（20M+ downloads annually），活跃贡献者社区超过 10 万人（100K+），并由 Wireshark 基金会提供长期支持。
• 多语言与跨平台支持：支持 20 多种语言界面，运行于 Windows、macOS、Linux 与 UNIX，也可在其他平台上通过源码自行构建。
• 强大的过滤与检索体系：提供捕获过滤器与显示过滤器两层机制，可基于 IP、端口、协议、字段值定位目标数据包，并支持过滤宏、切片操作符等高级表达式。
• 丰富的统计与可视化工具：内置协议层级（Protocol Hierarchy）、会话（Conversations）、端点（Endpoints）、I/O 图表（I/O Graphs）、流图（Flow Graph）、TCP 流图等统计视图，便于快速掌握流量全貌。
• 专业的 VoIP 与无线分析：支持播放 VoIP 通话、分析 RTP 流，并提供 IEEE 802.11 等无线协议分析能力，以及专家信息（Expert Information）自动提示异常。
• 完整的学习与认证生态：官网提供 User's Guide、FAQ、SharkFest 大会、YouTube 教程与 Wireshark Academy 课程，并设有 WCA（Wireshark Certified Analyst）认证。

免费下载 Wireshark #

以下为官方发布的 Wireshark 4.6.9 稳定版各平台安装包，点击链接即可下载。Windows 安装包已内置最新稳定版 Npcap，用于实时抓包。

说明：官网当前稳定版为 4.6.9；另有旧稳定版 4.4.19 与开发版 4.7.3 可供选择。下载完成后，可使用官网提供的签名文件校验哈希值与签名（key id 0xE6FEAEEA），确保安装包未被篡改。

Wireshark 如何使用？ #

第一步：选择抓包网卡。 启动 Wireshark 后，主界面会列出当前设备上所有可用的网络接口（如以太网、Wi‑Fi、本地回环）。在欢迎页的 Capture 区域双击目标接口，即可开始实时捕获。

第二步：执行实时抓包。 点击工具栏上的蓝色鲨鱼鳍按钮开始捕获，数据包会按时间顺序实时出现在 Packet List（数据包列表）窗格中。点击任一数据包，Packet Details（数据包详情）窗格会按协议分层展开其结构，Packet Bytes（数据包字节）窗格则显示对应的十六进制与 ASCII 原始数据。

第三步：使用显示过滤器精准定位。 在顶部显示过滤栏输入表达式即可过滤结果，例如 ip.addr == 192.168.1.1、tcp.port == 443、http.request、dns。不熟悉语法时，可点击过滤栏右侧的“表达式”按钮，通过对话框逐步构建。注意：捕获过滤器在抓包前设置，用于减少数据量；显示过滤器在抓包后生效，用于筛选查看。

第四步：分析与统计。 通过 Analyze 菜单可跟踪 TCP/UDP 流（Follow Stream）、查看专家信息（Expert Information）定位异常；通过 Statistics 菜单可打开协议层级、会话、端点、I/O 图表、流图等统计视图，快速掌握流量构成与变化趋势。

第五步：保存与导出。 分析完成后，使用 File → Save As 保存捕获文件（默认 pcapng 格式），或通过 File → Export Specified Packets、Export Packet Dissections 导出指定数据包及解析结果（支持纯文本、CSV、JSON、XML 等格式）。

命令行提示： 安装包同时提供 tshark 命令行工具，可在无图形界面的服务器上抓包与解析，例如 tshark -i eth0 -w capture.pcapng。

Wireshark 的常见问题？ #

Wireshark 支持哪些平台？ Wireshark 可运行在绝大多数计算平台上，包括 Windows、macOS、Linux 与 UNIX，也可以在其它平台上从源码构建。具体系统要求与支持平台请参考官网 Download 页面与 User's Guide。

Wireshark 真的完全免费吗？ 是的。Wireshark 属于“free software”，下载无需支付任何许可费用，且下载的版本就是完整版本，而非功能受限的“演示版”。其授权协议为 GNU 通用公共许可证第 2 版（GPLv2），由非营利的 Wireshark 基金会维护。

为什么在 Windows 上无法抓包或看不到网卡？ Windows 平台的实时抓包依赖 Npcap 驱动。官方 Windows 安装包已内置最新稳定版 Npcap，安装时保持勾选即可；如果单独卸载或跳过了 Npcap，需要从 Npcap 官网单独下载安装后才能捕获数据包。

在哪里可以找到教程和学习资源？ 官网 Learn 页面提供了从安装、首次抓包到基础过滤器的入门指引，同时 Wireshark Academy 提供体系化课程与 WCA 认证。官方 YouTube 频道（@WireSharkFest）也有大量网络分析相关的教程与课程视频。

如何确认下载的安装包是安全未被篡改的？ 官网 Download 页面提供签名文件（signatures file），其中包含当前版本各安装包的哈希值，签名使用 key id 0xE6FEAEEA。建议下载后核对哈希值，确认文件完整性后再安装。

抓包时数据包太多、界面卡顿怎么办？ 建议在抓包前设置捕获过滤器（Capture Filter）只保留关注的流量，例如仅抓取某个主机或端口的数据，可显著降低数据量与内存占用；分析阶段再配合显示过滤器逐层缩小范围。

Wireshark 如何安装？ #

Windows 平台

1. 下载对应架构的安装包：Wireshark-4.6.9-x64.exe（64 位 Intel/AMD）或 Wireshark-4.6.9-arm64.exe（Arm64 设备）。
2. 双击运行安装程序，按向导点击 Next。
3. 在组件选择界面保持默认勾选，其中包括 Wireshark 主程序与 Npcap 抓包驱动（Npcap 为实时抓包所必需）。
4. 安装 Npcap 时，如需抓取无线网络流量，可勾选“Support raw 802.11 traffic”等选项。
5. 完成安装后启动 Wireshark，首次运行建议以管理员权限启动，以确保网卡抓包权限正常。
6. 若需免安装使用，可选择 WiresharkPortable64_4.6.9.paf.exe 便携版，直接安装到 U 盘或任意目录，不写入系统注册表。

macOS 平台

1. 下载 Wireshark 4.6.9.dmg（Universal 通用镜像，同时适配 Intel 与 Apple Silicon）。
2. 双击打开磁盘映像，将 Wireshark 图标拖入“应用程序”文件夹。
3. 首次启动时，系统会提示安装 ChmodBPF 辅助组件，用于授予抓包所需的网卡访问权限，按提示输入管理员密码完成安装。
4. 从“应用程序”或启动台打开 Wireshark 即可使用。

Linux / UNIX 平台

• Debian/Ubuntu 系：sudo apt install wireshark（安装过程中会询问是否允许非 root 用户抓包，选择“Yes”）。
• Red Hat/Fedora 系：sudo dnf install wireshark 或使用 RPM 包安装。
• Gentoo：通过 portage 安装；FreeBSD：通过 packages 安装。
• 也可从官网下载源码包，按照 User's Guide 中的说明自行编译构建。

提示：在 Linux 上，普通用户需要加入 wireshark 用户组（sudo usermod -aG wireshark $USER）才能进行实时抓包，修改后需重新登录生效。

Wireshark 如何卸载？ #

Windows 平台

1. 打开“控制面板 → 程序和功能”（或“设置 → 应用 → 已安装的应用”）。
2. 找到 Wireshark，点击“卸载”并按向导完成移除。
3. 随后在列表中查找 Npcap，单独将其卸载。Npcap 是独立的抓包驱动组件，不会随 Wireshark 自动删除。
4. 如需彻底清理，可手动删除残留配置目录：%APPDATA%\Wireshark 与 %LOCALAPPDATA%\Wireshark，其中保存着个人配置、过滤器和插件。
5. 便携版（PortableApps）无需卸载，直接删除对应的安装文件夹即可。

macOS 平台

1. 打开“访达 → 应用程序”，将 Wireshark 拖入废纸篓并清空。
2. 若安装了 ChmodBPF 辅助组件，可在“系统设置 → 通用 → 登录项与扩展”或 /Library/LaunchDaemons/ 中移除相关项。
3. 手动删除残留配置：~/Library/Preferences/org.wireshark.Wireshark.plist、~/.config/wireshark 与 ~/.local/lib/wireshark。

Linux / UNIX 平台

• Debian/Ubuntu：sudo apt remove --purge wireshark（--purge 会一并删除配置文件）或 sudo apt autoremove wireshark。
• Red Hat/Fedora：sudo dnf remove wireshark。
• 如需清理个人配置，删除用户目录下的 ~/.config/wireshark 文件夹即可。
• 注意：卸载软件包通常不会移除 wireshark 用户组，如不再需要可执行 sudo groupdel wireshark。