4、Wireshark实战：过滤规则、追踪TCP流、导出HTTP对象、统计与分析
好，咱们进入实战环节。前面几章我们把理论基础打牢了，现在该真刀真枪地干一场。Wireshark这个工具，说白了就是网络世界的「显微镜」。你用它看流量，就像医生看X光片——得知道怎么看，才能发现问题。
我个人习惯，拿到一个pcap文件后，不会急着乱点。先深呼吸，想清楚我要找什么。是某个协议的交互细节？还是某个可疑的请求？目标明确了，效率才高。
4.1 过滤规则：从海量数据中精准定位
抓包一时爽，过滤火葬场。你想想看，一个交易所的网关，每秒几千个包，全堆在屏幕上，那画面太美我不敢看。所以过滤规则是基本功，必须练到肌肉记忆。
Wireshark的过滤分两种：抓包过滤和显示过滤。抓包过滤是在抓的时候就扔掉不要的包，节省磁盘和内存。显示过滤是抓完了再筛选，更灵活。实战中我90%的时间都在用显示过滤。
核心过滤语法速查表
| 过滤表达式 | 含义 | 实战场景 |
|---|---|---|
ip.addr == 192.168.1.100 |
只看某个IP的流量 | 定位某台交易服务器的所有通信 |
tcp.port == 443 |
只看某个端口的流量 | 过滤HTTPS加密流量 |
http.request.method == "POST" |
只看HTTP POST请求 | 分析下单接口的请求内容 |
tcp.flags.syn == 1 and tcp.flags.ack == 0 |
只看TCP三次握手的SYN包 | 排查连接建立失败的问题 |
frame.time >= "2024-01-01 10:00:00" |
只看某个时间点之后的包 | 定位故障发生时刻的流量 |
我的小技巧：在过滤栏输入时，Wireshark会自动补全。你输入tcp.，它会列出所有tcp相关的字段。我经常用这个功能来「探索」协议字段，比查文档快多了。
嗯，这里要注意一个坑。过滤表达式里的逻辑运算符，and、or、not，大小写都行。但如果你用C语言风格的&&、||、!，也是支持的。我个人习惯用英文单词，看着更清晰。
4.2 追踪TCP流：还原完整会话
过滤出单个包只是第一步。很多时候，我们需要看一次完整的请求-响应过程。比如一个下单请求，客户端发了三个TCP段，服务端回了两个。你一个个包去看，累死也看不出所以然。
这时候就该「追踪TCP流」上场了。操作很简单：右键点击任意一个TCP包，选择「Follow」→「TCP Stream」。Wireshark会自动把属于同一个TCP连接的所有数据拼接起来，按时间顺序展示。
追踪TCP流的三大用途：
- 还原应用层协议：比如HTTP请求和响应，直接看到完整的Header和Body
- 定位数据异常：我曾经遇到过一个Bug，客户端发送的订单ID在某个包中被截断了。追踪流一看，原来是TCP分片重组出了问题
- 导出原始数据：流窗口右下角有个「Save as...」按钮，可以把原始字节流保存成文件。我经常用它来提取图片、文件等HTTP对象
你可能会问：「如果流量是加密的怎么办？」嗯，这是个好问题。对于TLS/SSL加密流量，追踪TCP流看到的是乱码。这时候你需要先解密，或者用后面章节会讲到的「SSLKEYLOGFILE」方法。不过那是后话了。
4.3 导出HTTP对象：提取文件与数据
这个功能我太爱了。在分析交易所的Web管理后台时，经常需要提取前端JS文件、图片资源，甚至是API返回的JSON数据。一个个去翻包？太原始了。
操作路径：File → Export Objects → HTTP。Wireshark会列出所有HTTP响应中传输的对象，包括HTML、JS、CSS、图片、JSON等。你可以按大小排序，也可以按内容类型过滤。
实战案例：有一次，我需要分析某个交易平台的WebSocket握手细节。直接导出HTTP对象，找到了握手请求中的Sec-WebSocket-Key字段，然后手动计算了响应中的Sec-WebSocket-Accept。嗯，验证了服务端的实现是否正确。
导出时要注意：Wireshark默认只导出HTTP/1.x的对象。对于HTTP/2，需要先在Edit → Preferences → Protocols → HTTP2中启用「Export HTTP2 objects」选项。这个坑我踩过，分享给你。
4.4 统计与分析：用数据说话
光看单个包还不够，我们要从宏观上把握流量特征。Wireshark的统计功能，就是你的「流量仪表盘」。
我最常用的几个统计入口：
- Statistics → Summary：看一眼总包数、总字节数、平均速率。快速判断流量规模
- Statistics → Protocol Hierarchy：协议层级统计。看看哪些协议占用了最多带宽。有一次我发现一个交易所的UDP广播流量占了总流量的70%，明显不正常
- Statistics → Conversations：会话统计。按IP、端口、MAC地址分组，看看哪个端点通信最频繁。排查DDoS攻击时，这个功能是神器
- Statistics → IO Graph：流量时序图。横轴是时间，纵轴是速率。可以叠加多个过滤条件，比如同时显示HTTP和WebSocket的流量变化
注意：统计功能会消耗大量内存。如果你抓了一个几百MB的pcap文件，点开「Conversations」可能会卡几秒钟。别慌，等它算完就好。如果实在等不了，可以先用过滤规则缩小范围。
说到IO Graph，我分享一个真实经历。有一次，某交易系统在下午3点准时出现延迟飙升。我打开IO Graph，叠加了tcp.analysis.retransmission过滤条件，发现重传包在3点整突然暴增。再结合时间戳，定位到是定时任务触发了大量数据库查询，导致网络拥堵。你看，一个图表就破了案。
4.5 本章知识体系
为了让你更直观地理解本章内容，我画了一张流程图。它展示了从原始pcap文件到最终分析结论的完整路径。
这张图想表达的是：分析不是线性的。你可能会在统计阶段发现异常，然后重新过滤，再追踪流。循环往复，直到找到根因。我每次做分析，至少要走两三个来回。
本章核心要点：
- 过滤规则是基本功，
ip.addr、tcp.port、http.request.method要烂熟于心 - 追踪TCP流能还原完整会话，是定位应用层问题的利器
- 导出HTTP对象可以快速提取文件和数据，省去手动翻包的痛苦
- 统计功能帮你从宏观把握流量特征，IO Graph是排查时序问题的神器
好了，这一章的内容就到这里。记住，工具是死的，人是活的。多动手，多踩坑，慢慢你就会有感觉。下一章我们会深入分析一个真实的交易所协议案例，到时候见。