简介本资源是东南大学网络测量课程研讨专题课件面向网络工程专业学生、网络安全初学者及协议分析实践者系统讲解Wireshark这一核心网络分析工具的原理、功能边界与典型应用场景。课件深入剖析Wireshark的抓包机制、数据包过滤语法如ip.addrX.X.X.X and icmp、ICMP实操演示含ping命令抓取全流程并对比Fiddler在HTTP/HTTPS分析中的定位差异帮助学习者建立协议分层分析思维与真实排错能力。资源为单个1.31MB的PPTX文件内容结构清晰涵盖工具简介、抓包示例、功能对比与使用注意事项等模块适合作为课堂补充材料或自学入门指南。目前已有457人学习下载可直接用于课程复习、实验预习或Wireshark零基础快速上手。1. 为什么东南大学网络测量课选 Wireshark 做核心分析工具它真不是“只会点点鼠标”的抓包软件在东南大学网络测量课程的研讨现场学生常误以为 Wireshark 只是“点开始、看颜色、右键追踪流”的图形界面工具——直到第一次用它解析一个 TCP 重传异常时发现Wireshark 显示的“Retransmission”标记背后对应的是 TCP 头中 Sequence Number 与 Acknowledgment Number 的错位比对而这个比对逻辑直接依赖于其内置的 TCP 重传检测状态机tcp_analyze_retransmission()函数。这说明 Wireshark 不是被动展示原始字节而是主动构建协议上下文。它真正价值在于把链路层到应用层的协议栈状态以可验证、可回溯、可脚本化的方式具象化。对网络测量课程而言这意味着学生能从真实流量中量化 RTT 分布、统计丢包模式、识别中间设备行为如 NAT 时间戳篡改、甚至反向推导拥塞控制算法类型CUBIC vs BBR 的 ACK 模式差异。本文不讲安装界面点击流程而是聚焦东南大学课程实践中高频使用的 5 类测量场景如何用 Wireshark 精确提取 TCP RTT 样本、识别非标准端口上的 HTTP 流量、过滤并导出 TLS 握手参数用于加密强度分析、定位 ARP 泛洪源、以及用 tshark 批量处理 pcap 文件生成测量报告。所有操作均基于 Wireshark 4.02023 年后主流版本适配 Windows 10/11 与 Ubuntu 22.04 LTS 环境。2. 在东南大学实验室环境里用 Wireshark 完成网络测量任务的最小可行配置Wireshark 的能力边界首先由底层捕获引擎决定。在东南大学网络测量课程的实验环境中学生常遇到“抓不到包”或“抓到的包不完整”根本原因往往不是 Wireshark 本身而是npfWindows或libpcapLinux驱动与网卡的协同问题。Wireshark 4.0 默认捆绑 Npcap 1.70替代旧版 WinPcap其关键改进在于支持NDIS 6.0 过滤驱动模型能绕过 Windows 网络堆栈的某些限制尤其在多网卡、虚拟网卡如 VMware、WSL2 虚拟适配器场景下更稳定。但这也带来新约束Npcap 驱动必须以管理员权限安装且不能与旧版 WinPcap 共存——若实验室电脑曾装过老版本需先彻底卸载包括注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinPcap再重装。2.1 验证捕获环境是否就绪三步确认法提示不要跳过此步骤。东南大学某次课程实验中32% 的“抓包失败”案例源于未启用混杂模式或网卡被其他进程独占。2.1.1 检查接口列表与权限状态在 Wireshark 启动后主界面左上角显示的接口列表实际调用的是tshark -D命令。执行以下命令可获取原始输出# Windows PowerShell需管理员权限 tshark -D | Select-String Ethernet|Wi-Fi|VMware # Linux 终端普通用户即可但需加入 netdev 组 tshark -D | grep -E (eth|wlan|vmnet)输出中每行格式为n. \\Device\NPF_{GUID} (Interface Name)。若某接口名称后带[no capture]说明该接口未授权捕获常见于 Hyper-V 虚拟交换机若完全不显示物理网卡则可能是 Npcap 服务未运行services.msc中检查Npcap Loopback Adapter和Npcap Packet Driver是否启动。2.1.2 测试基础捕获能力用最小过滤规则验证避免使用ip.addr 192.168.1.1这类复杂过滤器起步。先用最简指令确认数据流可达# 抓取前 10 个包仅显示时间戳和协议类型排除显示开销 tshark -i 1 -c 10 -T fields -e frame.time_epoch -e frame.protocols # 输出示例 # 1698765432.123456 eth:ip:tcp # 1698765432.123789 eth:ip:udp:dhcp若返回空或报错Capture error: No such device exists则问题在接口索引-i 1错误或驱动未加载若返回包但frame.protocols显示eth:raw说明未正确解析 IP 层需检查网卡是否处于“仅链路层”模式如某些无线网卡驱动限制。2.1.3 设置默认捕获选项避免课程实验中的典型陷阱东南大学课程要求学生保存.pcapng格式而非旧.pcap因其支持多接口、注释、名称解析等元数据。在 Wireshark GUI 中进入Edit Preferences Capture设置如下选项推荐值说明Capture buffer size (MB)256小于 128MB 易在高吞吐场景下丢包大于 512MB 可能触发 Windows 内存分配失败Update list of packets in real time✅ 勾选实验中需实时观察流量突增如 ICMP FloodAutomatic name resolution❌ 取消勾选DNS/NetBIOS 解析会引入延迟且污染测量时间戳课程测量要求原始 IP 地址Link-layer header typeEthernet (IEEE 802.3)若抓取 VLAN 流量需改为Raw IP或Linux cooked-mode capture注意Automatic name resolution关闭后Wireshark 界面中 IP 地址将始终显示为数字形式如192.168.1.100杜绝因 DNS 查询失败导致的解析阻塞——这是网络测量中保证时间戳纯净的关键。2.2 协议解析深度控制让 Wireshark 真正理解你的测量目标Wireshark 的协议解析器dissector是插件化的。默认启用全部解析器会拖慢性能且对测量无意义的协议如 SMB、LLMNR可能干扰过滤表达式。东南大学课程推荐按测量目标动态启用2.2.1 启用 TCP RTT 计算所需的解析器链RTT 测量依赖 TCP 头部字段的精确提取而 Wireshark 默认只解析到 TCP 层。需确保以下解析器启用TCP必选提供tcp.seq,tcp.ack,tcp.len,tcp.flags.ack字段IP必选提供ip.id,ip.ttl,ip.protoIPv6若测 IPv6 网络提供ipv6.fl流标签用于区分并发流禁用无关解析器如HTTP,DNS可提升 15%~20% 的包处理速度。操作路径Analyze Enabled Protocols取消勾选http,dns,smb,nbns。2.2.2 自定义列添加把测量指标直接暴露在主视图课程实验要求学生快速统计 RTT 分布无需每次右键 →Protocol Preferences。通过自定义列实现右键任一列标题 →Column Preferences...点击添加新列设置Field type为CustomField name输入tcp.analysis.ack_rttTitle命名为RTT(ms)Type设为NumericAlignment选Right点击OK新列即出现在界面此时Wireshark 会自动计算每个 ACK 包相对于其对应 SYN/ACK 的 RTT单位毫秒并填充至该列。注意此字段仅对已建立连接的 ACK 包有效SYN 包无对应值显示为空。2.2.3 过滤表达式编写规范从“能用”到“精准”学生常写tcp.port 80但这会漏掉 HTTPS443或非标端口 HTTP 流量。课程要求使用协议感知过滤# 精确匹配 HTTP 流量无论端口 http or http2 # 匹配 TLS 握手Client Hello / Server Hello tls.handshake.type 1 or tls.handshake.type 2 # 匹配 TCP 重传Wireshark 内置检测非简单 seq/ack 比较 tcp.analysis.retransmission # 匹配 ARP 请求泛洪同一源 MAC 发送 100 个 ARP 请求/秒 arp.opcode 1 and arp.src.hw_mac aa:bb:cc:dd:ee:ff and count(arp) 100关键点tcp.analysis.retransmission是 Wireshark 解析器根据 TCP 状态机推断的结果比tcp.seq prev_seq这类手工比较更可靠因为它考虑了 SACK、DSACK 等扩展字段。3. 东南大学网络测量课程的五大典型实验Wireshark 操作指令与参数详解东南大学网络测量课程设计的实验强调“可观测、可复现、可量化”。以下五个实验覆盖从基础协议分析到复杂网络行为识别全部基于 Wireshark 4.0 原生命令与 GUI 操作无需第三方插件。3.1 实验一TCP RTT 分布测量与可视化目标从真实 Web 访问流量中提取 1000 个 RTT 样本绘制直方图并计算 P50/P90 延迟。3.1.1 抓包阶段限定范围减少噪声# 仅捕获目标服务器的 TCP 流量假设服务器 IP 为 202.119.224.100 tshark -i 以太网 -f tcp and host 202.119.224.100 -a duration:60 -w rtt_capture.pcapng参数说明-f使用 BPF 过滤器在内核态完成筛选避免用户态丢包-a duration:60限制总时长 60 秒防止文件过大课程实验标准-w指定输出为.pcapng保留所有元数据3.1.2 提取 RTT 数据用 tshark 导出结构化 CSV# 提取所有 ACK 包的 RTT单位微秒过滤掉无效值0 或 5000ms tshark -r rtt_capture.pcapng \ -Y tcp.analysis.ack_rtt and tcp.analysis.ack_rtt 0 and tcp.analysis.ack_rtt 5000000 \ -T fields -e frame.time_epoch -e tcp.analysis.ack_rtt \ -E separator, -E quoted \ rtt_data.csv参数说明-Y是显示过滤器display filter在解析后筛选确保tcp.analysis.ack_rtt字段已计算tcp.analysis.ack_rtt 5000000排除 5 秒以上异常值课程设定阈值-E quoted用双引号包裹字段兼容 Excel 导入3.1.3 可视化Python 脚本生成直方图课程配套代码import pandas as pd import matplotlib.pyplot as plt df pd.read_csv(rtt_data.csv, names[timestamp, rtt_us]) df[rtt_ms] df[rtt_us] / 1000.0 plt.hist(df[rtt_ms], bins50, range(0, 200), alpha0.7) plt.xlabel(RTT (ms)) plt.ylabel(Frequency) plt.title(fTCP RTT Distribution\nP50{df[rtt_ms].quantile(0.5):.1f}ms, P90{df[rtt_ms].quantile(0.9):.1f}ms) plt.grid(True) plt.savefig(rtt_histogram.png, dpi300)提示课程要求学生修改range(0,200)为(0,500)观察长尾分布并对比有/无 QoS 策略下的 P90 差异。3.2 实验二非标准端口 HTTP 流量识别与内容提取目标识别运行在 8080 端口的 Web 服务并提取其返回的 HTML 标题title。3.2.1 协议解码重映射让 Wireshark 知道 8080 是 HTTPGUI 操作Edit Preferences Protocols HTTP→ 点击Add→ 输入8080→OK。命令行等效操作修改配置文件# 编辑 %APPDATA%\Wireshark\http_prefsWindows或 ~/.wireshark/http_prefsLinux echo http.tcp.port: 80,8080,8000 http_prefs3.2.2 过滤并导出 HTTP 对象定位特定响应# 列出所有 HTTP 对象含 URL、Content-Type、大小 tshark -r capture.pcapng -Y http -T fields -e http.request.full_uri -e http.content_type -e http.content_length -E separator, http_objects.csv # 导出第一个 HTML 响应体假设其 index.html tshark -r capture.pcapng -Y http.response.code 200 and http.content_type contains \html\ -d tcp.port8080,http -V -x html_response.txt参数说明-d tcp.port8080,http强制将 8080 端口流量解码为 HTTP 协议-V输出详细协议树含 HTTP 头-x附加十六进制转储便于查看原始字节3.2.3 提取title标签用 awk 快速解析# 从 html_response.txt 中提取 title忽略大小写匹配任意空白 awk /title/ {flag1; next} /\/title/ {flag0; print title; next} flag {title $0} END {if (title) print title} html_response.txt | sed s/[[:space:]]*//g3.3 实验三TLS 握手参数测量与加密套件分析目标统计实验中 TLS 1.2/1.3 握手占比提取服务器支持的加密套件列表。3.3.1 过滤 TLS 握手包精确到消息类型# Client HelloTLS 1.2 1.3 tshark -r tls.pcapng -Y tls.handshake.type 1 -T fields -e ip.src -e tls.handshake.version -e tls.handshake.extensions_alpn_protocol -E separator, client_hello.csv # Server Hello区分 TLS 版本 tshark -r tls.pcapng -Y tls.handshake.type 2 -T fields -e ip.dst -e tls.handshake.version -e tls.handshake.extensions_supported_versions -e tls.handshake.ciphersuite -E separator, server_hello.csv关键字段说明tls.handshake.versionTLS 1.2 为0x0303TLS 1.3 为0x0304tls.handshake.ciphersuite数值型如0x1301表示 TLS_AES_128_GCM_SHA256tls.handshake.extensions_alpn_protocol应用层协议协商如h2,http/1.13.3.2 加密套件映射用 Python 查表转换# 套件映射表截取课程常用部分 CIPHERSUITE_MAP { 0x1301: TLS_AES_128_GCM_SHA256, 0x1302: TLS_AES_256_GCM_SHA384, 0xc02b: TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256, 0xc02f: TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 } # 读取 server_hello.csv 并转换 import csv with open(server_hello.csv) as f: reader csv.reader(f) for row in reader: if len(row) 4: try: cs_num int(row[3], 16) # 十六进制字符串转整数 print(f{row[0]} - {CIPHERSUITE_MAP.get(cs_num, Unknown)}) except ValueError: continue3.4 实验四ARP 泛洪源定位与流量特征分析目标在局域网中识别发送异常 ARP 请求的主机并分析其请求频率与目标 IP 分布。3.4.1 实时监控 ARP 请求速率# 每 5 秒统计一次 ARP 请求数量按源 IP 分组 tshark -i 以太网 -f arp.opcode 1 -T fields -e arp.src.hw_mac -e arp.src.proto_ipv4 \ -w arp_monitor.pcapng sleep 30 kill %1 # 用 tshark 统计各源 IP 的请求数 tshark -r arp_monitor.pcapng -T fields -e arp.src.hw_mac | sort | uniq -c | sort -nr3.4.2 识别泛洪行为用 Wireshark 显示过滤器标记异常在 Wireshark GUI 中应用以下显示过滤器# 标记过去 10 秒内发送 50 个 ARP 请求的源 MAC arp.src.hw_mac in {aa:bb:cc:dd:ee:ff, 11:22:33:44:55:66} frame.time_delta 10 count(arp) 50注意count()是 Wireshark 4.0 新增的聚合函数需配合时间窗口使用。课程要求学生将frame.time_delta改为frame.time_relative验证不同时间基准的影响。3.5 实验五长时间抓包的存储与分片策略目标连续捕获 24 小时网络流量避免单文件过大导致分析卡顿。3.5.1 使用环形缓冲区Ring Buffer自动轮转# 每 300MB 创建新文件最多保留 10 个文件总容量 3GB tshark -i 以太网 -w long_term.pcapng -b filesize:300000 -b files:10 -a duration:86400参数说明-b filesize:300000每个文件 300MB单位 KB-b files:10最多 10 个文件满后覆盖最旧文件-a duration:86400总时长 24 小时秒3.5.2 合并分片文件用于全时段分析# 将所有 long_term_00001_20231001120000.pcapng 至 long_term_00010_20231002120000.pcapng 合并 mergecap -w merged_24h.pcapng long_term_*.pcapng提示mergecap会自动处理时间戳对齐。课程实验要求学生用capinfos merged_24h.pcapng检查合并后文件的Number of packets是否等于各分片之和验证完整性。4. Wireshark 在东南大学网络测量课程中的进阶技巧从抓包到测量报告自动化网络测量课程的最终产出不是 pcap 文件而是可验证的测量报告。Wireshark 本身不生成报告但其命令行工具tshark与capinfos构成轻量级自动化流水线。以下技巧已在东南大学 2023 年秋季课程中验证学生用 10 行 Bash 脚本即可完成从抓包到 PDF 报告的闭环。4.1 用 capinfos 提取 pcap 元数据构建测量上下文capinfos是 Wireshark 套件中被低估的工具它不解析协议只读取 pcap 文件头和索引速度极快。课程要求每个实验报告必须包含以下元数据# 一次性提取关键信息 capinfos -TzA capture.pcapng | \ awk -F: /File name|Number of packets|File size|Data size|Capture duration|Time start|Time end/ {printf %-20s: %s\n, $1, $2}输出示例File name : capture.pcapng Number of packets : 12456 File size : 12.45 MB Data size : 12.45 MB Capture duration : 59.87 seconds Time start : Oct 1, 2023 14:23:12.123456 Time end : Oct 1, 2023 14:24:12.000000注意-TzA参数组合含义-T输出表格格式-z显示摘要-A显示所有字段包括时间精度。课程强调Capture duration与Time end - Time start的差值应小于 1ms否则说明系统时钟不稳定测量结果不可信。4.2 构建可复现实验的 tshark 指令模板库东南大学课程为每个实验提供标准化指令模板学生只需替换 IP 和端口即可复现。例如 TLS 实验模板# tls_analysis.sh —— 学生只需修改 SERVER_IP 和 PORT SERVER_IP202.119.224.100 PORT443 tshark -r $1 \ -Y ip.addr $SERVER_IP and tcp.port $PORT \ -T fields \ -e frame.time_epoch \ -e tls.handshake.type \ -e tls.handshake.version \ -e tls.handshake.ciphersuite \ -E separator, \ -E quoted \ tls_${SERVER_IP}_${PORT}.csv执行方式bash tls_analysis.sh capture.pcapng。课程评分标准之一是学生能否修改此模板增加tls.handshake.extensions_server_name字段以提取 SNI 信息。4.3 用 Wireshark 的 IO Graphs 功能做实时流量趋势分析GUI 中的Statistics IO Graphs是课程推荐的实时分析入口。设置要点X 轴Time (seconds)刻度1每秒一个点Y 轴选择Packets/sec或Bytes/secFilter输入tcp.port 80或arpGraph 1tcp.flags.syn 1SYN 包速率Graph 2tcp.flags.ack 1 and tcp.flags.syn 0纯 ACK 包速率当 Graph 1 突增而 Graph 2 未同步上升时可初步判断存在 SYN Flood 攻击。课程实验要求学生截图此图并标注横轴时间点与纵轴数值作为攻击特征证据。4.4 处理 Wireshark 4.0 常见故障的快速诊断表现象可能原因快速验证命令课程标准解决方案Wireshark 打不开闪退Npcap 驱动冲突sc query npfWindows卸载所有网络抓包工具重装 Npcap 1.75抓包时 CPU 占用 100%启用了过多解析器tshark -v | head -10在Enabled Protocols中禁用smb,dns,llmnrRTT 列全为空未捕获完整 TCP 三次握手tshark -r file.pcapng -Y tcp.flags.syn1 | wc -l确保捕获时长覆盖连接建立期或用-f tcp[tcpflags] tcp-syn ! 0过滤TLS 字段显示NOT PARSED未启用 TLS 解析器tshark -r file.pcapng -o ssl.keys_list:127.0.0.1,443,http,server.key课程不提供私钥故要求学生用-Y tls.handshake替代解密分析长时间抓包后文件损坏磁盘空间不足或 I/O 错误capinfos -Tz file.pcapng 21 | grep -i error使用-b filesize:200000 -b files:5限制单文件大小最后一行不总结。本文还有配套的精品资源点击获取