Wireshark 抓包基础

状态：占位符，待 content 队友撰写正式内容。

常用过滤器（30 条）

网络层

• ip.addr == 1.2.3.4
• tcp.port == 80
• udp.port == 53
• icmp.type == 8（Ping Request）

TCP 分析

• tcp.analysis.retransmission —— 重传
• tcp.analysis.dup_ack —— 重复 ACK
• tcp.analysis.zero_window —— 窗口关闭
• tcp.flags.syn == 1 and tcp.flags.ack == 0 —— SYN
• tcp.flags.reset == 1 —— RST

HTTP / HTTPS

• http.request.method == "GET"
• http.response.code == 502
• tls.handshake.type == 1 —— Client Hello

DNS

• dns.flags.response == 1
• dns.qry.name == "example.com"

tcpdump 命令行对照

# 抓特定主机
tcpdump -i any host 1.2.3.4 -nn -c 100

# 抓特定端口
tcpdump -i any port 443 -nn

# 抓 RST
tcpdump -i any 'tcp[tcpflags] & (tcp-rst) != 0'

---

本文档说明：此为占位版本。