Wireshark 抓包分析：网络安全转行必备的流量分析技能

引言

我曾处理过一次服务器 “卡顿” 故障 —— 运维同事以为是硬件问题，查了半天没找到原因，最后我用 Wireshark 抓包，发现有大量 “SYN 包” 从同一个 IP 发来，判断是 SYN 洪水攻击，拉黑 IP 后问题解决。Wireshark 是 “流量分析神器”，不管是排查故障还是检测攻击，都离不开它。本文从 “抓包设置→过滤规则→实战分析” 讲解，附攻击流量案例，新手也能学会看流量。

一、第一步：Wireshark 安装与基础界面（5 分钟上手）

1. 下载与安装

• 下载地址：Wireshark 官网（https://www.wireshark.org/download.html），选择对应系统（Windows/Mac/Linux），免费；

• 安装步骤：Windows 双击安装包，一路默认下一步（注意勾选 “Install Npcap”，Npcap 是抓包驱动，必须装），安装完成后打开。

2. 基础界面解读（新手必认 3 个区域）

区域	名称	作用
顶部	菜单栏 + 工具栏	启动 / 停止抓包、保存抓包文件、设置过滤规则
左侧	捕获接口	显示电脑所有网卡（如 “Ethernet” 以太网、“Wi-Fi” 无线），点击网卡名即可开始抓包
中间	数据包列表	显示抓到的所有数据包，每行是一个包，包含 “时间、源 IP、目的 IP、协议、长度、信息”
底部	数据包详情 + 原始数据	点击中间某行数据包，底部会显示该包的详细信息（如 TCP 头、HTTP 请求）和十六进制原始数据

二、核心技能 1：抓包设置（只抓你想要的流量）

新手直接抓所有流量会 “看晕”，学会设置抓包条件，只抓目标流量：

1. 选择正确的网卡（关键，避免抓不到包）

• 若用网线连网，选择 “Ethernet”（以太网）；

• 若用 WiFi 连网，选择 “Wi-Fi”；

• 测试：点击网卡名开始抓包，若中间列表有数据包不断刷新，说明抓包正常；若没数据，换另一个网卡试试。

2. 设置抓包过滤器（只抓特定流量）

抓包前设置过滤器，减少无关流量干扰，常用过滤器规则：

过滤器规则	作用	示例
host 目标IP	只抓与目标 IP 相关的流量（包括发往和来自该 IP）	host 192.168.1.104（只抓和 192.168.1.104 相关的流量）
src host 源IP	只抓来自源 IP 的流量	src host 192.168.1.105（只抓 192.168.1.105 发来的流量）
dst host 目的IP	只抓发往目的 IP 的流量	dst host 192.168.1.106（只抓发给 192.168.1.106 的流量）
port 端口号	只抓特定端口的流量	port 80（只抓 HTTP 流量，80 是 HTTP 端口）、port 443（只抓 HTTPS 流量）
protocol	只抓特定协议的流量	tcp（只抓 TCP 流量）、udp（只抓 UDP 流量）、http（只抓 HTTP 流量）

设置方法

1. 打开 Wireshark，在顶部 “Filter” 框左侧，点击 “Capture Filters”（抓包过滤器）；

2. 点击 “New”，输入 “Filter Name”（如 “抓 HTTP 流量”）和 “Filter String”（如port 80）→“Save”；

3. 选择刚创建的过滤器，点击 “Start”，开始抓包。

三、核心技能 2：显示过滤器（从抓到的流量中找目标）

若抓包前没设过滤器，抓到大量数据后，可用 “显示过滤器” 筛选，常用规则：

显示过滤器规则	作用	示例
ip.addr == 目标IP	显示与目标 IP 相关的流量（同抓包过滤器host）	ip.addr == 192.168.1.104
tcp.port == 端口号	显示特定 TCP 端口的流量	tcp.port == 22（显示 SSH 流量，22 是 SSH 端口）
http.request.method == “GET”	显示 HTTP GET 请求	筛选所有网页获取请求
http.request.method == “POST”	显示 HTTP POST 请求	筛选所有表单提交请求（如登录、注册）
tcp.flags.syn == 1	显示 TCP SYN 包（用于检测 SYN 洪水攻击）	筛选所有请求建立 TCP 连接的包

使用方法

在顶部 “Filter” 框中输入规则，按回车即可筛选（如输入http.request.method == “POST”，回车后只显示 POST 请求）。

四、实战案例 1：分析 HTTP 登录流量（看账号密码）

场景

抓包查看浏览器登录 DVWA 靶场时的账号密码（HTTP 是明文，能直接看到）。

步骤

1. 打开 Wireshark，选择 WiFi / 以太网网卡，设置显示过滤器http.request.method == "POST"→回车；

2. 打开 Chrome，访问 DVWA 登录页，输入账号admin、密码password，点击 “Login”；

3. Wireshark 中会显示一条 POST 请求，点击该请求，查看底部 “数据包详情”：

• 展开 “Hypertext Transfer Protocol”→“Request Line”：确认是POST /login.php HTTP/1.1（登录请求）；

• 展开 “Form data”：能看到username=admin&password=password（明文账号密码）。

五、实战案例 2：分析 SYN 洪水攻击流量（检测攻击）

场景

服务器卡顿，怀疑被攻击，用 Wireshark 抓包分析。

步骤

1. 打开 Wireshark，选择服务器的网卡，设置显示过滤器tcp.flags.syn == 1→回车；

2. 观察数据包列表：

• 正常情况：SYN 包会有对应的 SYN+ACK 包（目标 IP 回复），且来自不同 IP；

• 攻击情况：大量 SYN 包来自同一个 IP（如 192.168.1.107），且没有 SYN+ACK 包回复（服务器资源耗尽，无法回复）；

1. 确认攻击：统计该 IP 的 SYN 包数量（右键点击该 IP 的 SYN 包→“Follow”→“TCP Stream”，查看流量详情），若 1 分钟内超过 100 个，基本可判断是 SYN 洪水攻击；

2. 解决：在防火墙拉黑该 IP（如 Linux 中执行iptables -A INPUT -s 192.168.1.107 -j DROP）。

六、转行应用：简历怎么写 Wireshark 技能？

• 技能栏：“熟练使用 Wireshark 进行 HTTP/HTTPS 流量抓包，能用显示过滤器筛选 POST 请求、TCP SYN 包，可分析登录流量、检测 SYN 洪水攻击”；

• 项目经验：“使用 Wireshark 分析 Linux 服务器卡顿问题，通过筛选 TCP SYN 包，发现 192.168.1.107 发起的 SYN 洪水攻击，拉黑 IP 后服务器恢复正常，撰写流量分析报告”。

总结

Wireshark 入门的核心是 “选对网卡 + 用对过滤器 + 分析关键包”，新手不用学复杂的协议解析，先掌握 HTTP 流量分析和攻击检测（如 SYN 洪水），就能应对安全运维岗位的需求。评论区说说你抓包时遇到的问题，帮你排查！

网络安全学习资料分享

为了帮助大家更好的学习网络安全，我把我从一线互联网大厂薅来的网络安全教程及资料分享给大家，里面的内容都是适合零基础小白的笔记和资料，不懂编程也能听懂、看懂，朋友们如果有需要这套网络安全教程+进阶学习资源包，可以扫码下方二维码限时免费领取（如遇扫码问题，可以在评论区留言领取哦）~