凡是学网络的人对Wireshark必定都不陌生，但我之前对Wireshark也仅仅只是会用而已，技术层面非常浅。在2015年的信息安全管理与评估国赛试题中，对Wireshark的使用提出了很高的要求，另外国外有一份网络安全工具排行榜（ http://sectools.org/），榜单中共包括了125个安全工具，其中稳居排行榜第一位的就是Wireshark。
Wireshark是目前使用最为广泛的开源抓包软件，其前身为Ethereal，由Gerald Combs编写并于1998年以GPL开源许可证发布。还记得当初学习Linux时提到的GNU计划吧？GPL正是GNU的核心协议，凡是遵循这个协议的软件都必须要开源免费，这应该也正是Wireshark可以快速发展并长期雄踞Sectools排行榜首位的主要原因吧。
Wireshark的核心功能是捕捉网络数据包，并尽可能地显示出数据包中的详细信息，底层需要Winpcap的支持。其基本工作原理是：当计算机上的网卡收到数据帧时，会查看数据帧的目的MAC和本网卡的MAC地址是否相同。如果不同就丢弃帧，如果相同就接收帧并交给上一层处理。对于广播帧或者组播帧，网卡也会接收下来，但在正常情况下，这些帧会被丢弃。当计算机上启动Wireshark后，网卡会被置为混杂模式，这时只要数据帧能达到网卡，不论帧的目的MAC和本网卡的MAC地址是否相同，网卡将全部接收并交给Wireshark处理。
Wireshark的应用非常广泛。如果是网络工程师，可以通过Wireshark对网络进行故障定位和排错；如果是安全工程师，可以通过Wireshark对网络黑客渗透攻击进行快速定位并找出攻击源；如果是渗透或软件工程师，可以通过Wireshark分析底层通信机制等等。
Wireshark的官网是 https://www.wireshark.org/，可以根据自己的需要下载相应的版本使用。
Wireshark的安装过程非常简单，全部单击next按钮即可。Wireshark依赖Winpcap来工作，如果计算机未安装过WinPcap软件，安装程序会要求安装Winpcap，也是全部单击next按钮即可。
Wireshark运行之后，在Capture模块中选择要进行监听的网卡，然后点击Start即可开始抓包。
在工具栏中点击停止按钮终止抓包，然后可以选择将抓取到的数据包保存下来，这样以后可以随时打开进行分析，或者是发送给别人帮忙分析。
从最新的2.0版开始，Wireshark已经可以完美支持中文了，使用起来更加方便。
原文链接：
https://blog.51cto.com/yttitan/1732746