刚入门时，师傅让装了Wireshark，到现在为止打开不到五次，师傅让我下次吃饭坐小孩那桌！！！

原创

是老A
是老A

老A搞安全

2026年8月13日 08:02
贵州

在小说阅读器读本章

去阅读

一位深耕网络安全的老兵，目前是一家安全公司的技术分管，擅长渗透测试及安全培训方向，老A的愿望是大家没烦恼，一切顺心！

菜就算了，手里拿着狙击枪，你却用它来砸核桃

Wireshark是好东西，要用起来！

不过也能理解，看不懂的时候它就是满屏乱码，看得懂的时候它就是“上帝视角”

先给你捋一捋：Wireshark到底能干嘛？怎么简单上手？

Wireshark把你电脑网卡上飞过的所有数据包（网络流量）全部记录下来。你平时上网，数据包就像高速上的车流，嗖嗖嗖你看不清。Wireshark就是给你一个“逐帧回放”的功能，让你看清每一辆车（数据包）从哪里来、到哪里去、拉了什么货。

示例1：很多老系统或者内网还在用明文传输时。你只需要对着一个HTTP请求点右键 -> 追踪流（Follow） -> TCP流。

这个时候，你输入的用户名、密码、聊天内容、浏览记录，全部是明文显示

示例2：还有有些木马或者软件会在后台偷偷连一些奇怪的网站

我们只需在过滤栏输入 dns 或者 http

如果发现你的电脑一直在请求一个乱七八糟的域名，那极大概率是中了挖矿病毒或者远控木马，这时候就需要警惕了！

示例3：如果有人用工具扫你的服务器，或者一直在试密码爆破

你会发现同一个IP不停地发SYN请求（握手请求），或者出现大量的TCP Retransmission（重传）和401/403报错

所以所以……会用Wireshark，在应急响应时，你会感谢它的

分享两个小技巧

1、万能过滤公式（只抓你想要的）：

只看HTTP（网页）： http

只看IP地址（看谁在捣乱）： ip.addr == 192.168.1.100

只看特定端口（比如扫端口）： tcp.port == 80

2、密码搜索大法（Ctrl+F）：

在包里按 Ctrl+F，选择“字符串”，直接搜 password 或者 pass。

如果搜出来了明文的password=xxxxx，啥也别说，拿下一个高危

看到满屏乱码，不要想着怕，也不用管那些复杂的TCP状态

你就记住：看明文内容（看HTTP/FTP）、找恶意外连（找奇怪域名）、查暴力扫描（看大量SYN包）。

就这三招，足够你在渗透测试、CTF比赛或者日常排查中解决90%的问题了

赶紧卷起来，不要让你的Wireshark上了灰

文章背景：周一团队接了个应急服务，闲下来就想着和大家分享分享，没有固定的方向，只分享近期自己遇到的一些事

⚠️ 法律声明：以上内容仅供安全学习和授权测试使用。未经授权的漏洞利用属于违法行为，请勿对未经授权的目标进行测试