02 Wireshark 完全图解：把整个界面每个按钮讲清楚
新手最大障碍就是"看到一堆按钮不知道干嘛"。这一章把 Wireshark 主界面从上到下、从菜单到右键逐个按钮讲明白。你可以对照实际打开的软件边看边读。
界面总览：一个窗口四个区
- 最上方：主菜单栏 + 主工具栏 + 过滤器栏（横向一排）。
- 中间主体：三层面板——数据包列表(Packet List)、数据包详情(Packet Details)、数据包字节(Packet Bytes)。
- 最下方：状态栏 + "Expert 专家提示"入口。
分层理解：选中列表里一个包 → 中间"详情"会按各层协议拆开（帧/TCP/HTTP…）→ 下方"字节"显示该段的原始十六进制 + ASCII。三者的信息是连通的：你在详情里点的字段，字节区会高亮对应位置。
新手要点：解题 90% 的时间在看"列表"和"详情"。列表挑可疑包，详情里读关键字段（如 URI、延迟、响应体）。
Wireshark 4.x 的主菜单依次是下面这些。逐项说明（带【】的带常用快捷键）：
File（文件）
- New / Open…(Ctrl+O) —— 新建/打开抓包文件。
- Open Recent —— 最近打开的文件列表。
- Merge —— 把另一个 pcap 合并进当前文件。
- Import from Hex Dump —— 从纯文本十六进制转成可分析的 pcap（冷门但对付"给你 hex 字节"的题有用）。
- Export Packet Dissections / Export Specified Packets / Export Packet Bytes… —— 导出当前/选中的包、或某包的原始字节。
- Export Objects → HTTP/TFTP/SMB… —— 批量导出该协议传输的全部文件（见 04 §导出对象，高频！）。
- Reload(Ctrl+R) —— 重新读取当前文件（改了解密/过滤偏好后刷新用）。
- Quit / 退出 —— 关闭。
Capture（捕获）
- Options…(Ctrl+K) —— 选择网卡、设置捕获过滤器（抓的时候就过滤，区别于显示过滤器）。
- Start / Stop / Restart(Ctrl+E/Ctrl+E/Ctrl+R) —— 开始/停止/重启抓包（这些是"实时抓"，做题打开文件用不到，但要知道）。
区分两个"过滤器"：捕获过滤器(Capture filter)是抓包前设置、抓不到的就丢弃；显示过滤器(Display filter)是文件已在一堆包里
筛选显示。做题绝大多数用
显示过滤器，见
03。
Edit（编辑）
- Copy —— 把选中项/值以多种格式复制（详看右键里也有同款）。
- Find Packet…(Ctrl+F) —— 超高频！在当前文件搜字符串/十六进制/正则，常用来直接搜
flag。
- Find Next / Find Previous(Ctrl+N/Ctrl+Shift+N) —— 接着搜下一个/上一个。
- Go to Packet…(Ctrl+G) —— 跳到指定序号。
- Mark / Unmark Packet(Ctrl+M) —— 给包做标记(高亮)，便于跟踪几处关键位置。
- Ignoring Packets —— 标记忽略（显示中被跳过）。
- Set / Unset Time Reference(Ctrl+T) —— 以某一包为零点显示相对时间，分析"从这开始过了多久"用。
- Preferences…(Ctrl+Shift+P) —— 首选项，全局设置。TLS 密钥填充、显示格式、外观主题都在这里。
View（视图）
- Main Toolbar / Filter Toolbar / … —— 哪种横栏显示/隐藏。
- Display Filters…(Ctrl+Shift+F) —— 打开显示过滤器表达式构造器。
- Colorize Packet List(Ctrl+Alt+C) —— 按着色规则给列表上色（一眼看出异常，如红色=错误/可疑）。
- Expand / Collapse All —— 详情面板所有字段展开/折叠。
- Zoom In / Out / Normal Size(Ctrl+=/Ctrl+-/Ctrl+0) —— 缩放。
- Time Display Format ▸ —— 时间显示格式，盲注必用：选"Seconds Since Beginning / Since Previous Captured Packet"，见 04 §延迟分析。
- Name Resolution —— 是否把 IP/端口解析成域名/服务名（做题常关掉，防止干扰）。
- Coloring Rules… —— 自定义着色规则。
- Reload —— 刷新。
Go（跳转）
- Go Back / Go Forward(Alt+←/Alt+→) —— 在浏览历史里前进/后退。
- Go to Packet…, Go to Corresponding Frame(Ctrl+M) —— 跳到指定包 / 跳到相关联的包（如请求 ↔ 响应）。
- Previous / Next Packet(Ctrl+↑/Ctrl+↓)、First / Last —— 导航。
Analyze（分析）
- Display Filters… —— 过滤器编辑/收藏。
- Apply as Filter ▸ —— 把选中字段值做成显示过滤器（右键同款）。
- Prepare a Filter —— 先构造过滤器但不应用。
- Conversation Filter ▸ —— 只看与该 IP/端口相关的所有对话。
- Enabled Protocols… —— 关闭/开启某协议的解析（有时 Wireshark 认错协议，关掉错误的即可正确解码）。
- Decode As… —— 把这段流量强制按某协议解析（如把 TCP 443 强制按 HTTP 解），冷门但有奇效。
- Follow ▸ —— 追踪流，核心功能，专讲见下。
- Reload Lua Plugins —— 重载插件。
Statistics（统计）
- Summary —— 文件总体信息（总字节、时间范围、捕获参数）。
- Protocol Hierarchy —— 协议分级，必经第一步"观"：一目了然各协议占比（见 01 五步法①）。
- Conversations / Endpoints —— 哪些设备/端口在通信、每条对话多少包多少字节（定位主要通信方）。
- Packet Lengths —— 包长度分布（异常大的包继可疑）。
- I/O Graph / TCP Stream Graphs —— 流量趋势图、时序画（时间盲注看锯齿很直观）。
- HTTP ▸ —— 列出所有 HTTP 请求(统计→HTTP→Requests)或分组，非常方便总览访问了哪些 URL。
- DNS / … —— 对应各协议统计。
Telephony（电话） / Wireless（无线）
- Telephony —— VoIP/电话相关协议（SIP、RTP）统计与播放。
- Wireless —— WLAN、蓝牙等：无线抓包、802.11 分析、Bluetooth 设备列。普通有线 HTTP 题用不到，无线/蓝牙题才看。
Tools（工具）
- Firewall ACL Rules —— 根据选中流生成防火墙规则原文（运维向）。
- Credentials —— 自动汇总抓包里出现的明文凭据（网页登录表单、Basic 认证等会自动列出），有凭据题可偷懒直接看。见 05 §凭据。
- Lua API / Lua —— 脚本扩展相关，进阶用。
Help（帮助）
About、Manual、网站链接等，解题忽略。
从左到右大致是（不同版本位置有微调，认图标即可）：
| 图标/名称 | 作用 |
|---|
| ▶ 开始捕获 / ⏹ 停止 / 🔄 重启 | 实时抓包三兄弟（做题基本用不到） |
| 📂 Open | 打开文件 |
| 💾 Save / Save As | 保存当前文件（做题一般不写源文件，Save As 到副本） |
| 🔄 Reload | 重新读取文件 |
| ✕ Close | 关闭文件 |
| 🔍 Find Packet(Ctrl+F) | 搜索，高频：搜 flag/字符串 |
| ⏮ Go Back / Go Forward | 浏览历史前进后退 |
| ▲▼ Previous/Next Packet | 上一个/下一个包 |
| c+G Go to Packet | 跳到指定序号 |
| ⮜ Show protocol 展开/折叠 | 详情面板全部展开/折叠 |
| 🔍 Zoom In / Zoom Out / 滑条 | 缩放文字/内容 |
| 🕐 Time Format | 切换时间显示格式（吸毒盲注看延迟） |
| funnel/漏斗 Capture Filters | 捕获过滤器（抓包前） |
| ★ Display Filters(Ctrl+Shift+F) | 显示过滤器表达式构造器，不知道字段名时点它搜 |
| Coloring/▪ Colorize | 开/关列表着色 |
| Auto Scroll | 列表是否自动滚到最新（实时抓包用） |
| ⚙ Preferences | 首选项（TLS 密钥等） |
过滤器栏（顶部输入框）
从左到右：
- 左侧下拉：切换「显示过滤器」还是「捕获过滤器」（做题选显示过滤器）。
- 中间大输入框：输过滤器语法。输入过程实时判定——绿色背景=语法正确，红色=写错。
- 右侧：
✕ 清除恢复全部；漏斗/★ 打开「显示过滤器表达式」对话框（内置常见字段浏览，最省事入口）。旁边有个下拉箭头可管理/保存常用过滤器。
新手最容易卡在这：不知道字段名可用。其实点右边漏斗打开表达式面板，或直接在框里输入
协议名+点号+关键词（如
http.request.uri、
tcp.payload）Wireshark 会自动补全。语法全解见
03 过滤器详解。
三层面板
| 面板 | 内容 | 解题用法 |
|---|
① 数据包列表
(Packet List) | 每行一个包：序号、时间、源/目的、协议、长度、Info 摘要 | 点选可疑包；看 Info 判断是请求还是响应；右键操作入口 |
② 数据包详情
(Packet Details) | 该包按协议树展开：帧→IP→TCP→HTTP…每字段一行 | 读关键字段（URI、参数、响应体、延迟都是它的字段）；可右键复制值 |
③ 数据包字节
(Packet Bytes) | 该段原始内容：左侧十六进制、右侧 ASCII 预览 | 看"不可见"或加密前的裸数据；中文/加密内容也在这呈现 |
联动：①②③其实显示同一包的不同视角。点📦详情里某字段，③会高亮对应字节——想找"ASCII 可读串"就在③右侧栏扫一眼。
状态栏与 Expert 提示
- 左下显示当前文件路径、包数、选中包序号。
- Expert(专家)小图标：统计并标记"异常/可疑事件"，如重传、重复确认、TLS 告警。颜色分级。有些题在 Expert 里藏了线索，但别全依赖——很多只是正常握手噪音。
数据包右键菜单（每个选项）
在数据包列表任意一处右键，弹出的核心选项如下。这是解题操作最密集的地方，务必逐个认识：
| 右键选项 | 作用 |
|---|
| Follow → TCP/UDP/TLS/HTTP Stream | 追踪流，把完整对话拼起来，见下节 |
| Conversation Filter | 只看与该 IP:端口 相关的包 |
| Copy → Copy as Filter / Value / Summary | 把选中字段转成过滤器文本，或复制其值(copy value 最常用：取 URL、参数值) |
| Mark / Unmark Packet(Ctrl+M) | 标记高亮，方便回看那几处关键点 |
| Ignore Packet | 把包加入"隐藏"，列表里不再显示 |
| Set / Unset Time Reference | 设为此包为零点 |
| Apply as Filter → Selected / Not Selected… | 直接以选中字段值作为过滤器条件（秒杀手打）——比如点中某 URI 再 Apply as Filter = 只看该 URI |
| Prepare as Filter | 构造过滤器但不执行，可继续编辑 |
| Export Packet Bytes… | 把这包的原始字节导出成文件（离线解密/分析） |
| Decode As… | 强制改协议解析 |
| Wiki Protocol Reference | 打开该协议官方说明网页 |
| Protocol Preferences / 展开各协议子项 | 针对该协议的首选项（冷门） |
在数据包详情里右键字段，则会多出「Copy as Filter / Prepare as Filter」等针对单个字段的操作——比如 http.request.uri 那行右键可以快速 Add to filter。
Follow 追踪流完整说明
右键任意包 → Follow → TCP Stream(或对应协议)，会弹出窗口把这次完整连接的所有请求+响应原文按顺序拼起来。
- 颜色区分方向：客户端发出的(一种颜色) 与 服务器返回的(另一种) 交替显示。
- 查找框：长流里 Ctrl+F 搜
flag/{/关键字。
- Stream 编号：窗口标题/左上显示
tcp.stream eq N，可拿去做过滤器回到这条流。
- 数据来源下拉：Entire conversation / A→B / B→A（只看某个方向）。
- 字体/显示格式：可按 十六进制/ASCII/原始 切换。
用法示范：请求和响应都看不清时，Follow 把所有段落连起来，几乎总能找到答案。它是定位术里"看完整故事"的入口。04 §Follow 有联动技巧。
常用快捷键速查（Windows）
| 快捷键 | 作用 |
|---|
| Ctrl+F | 查找包（搜字符串） |
| Ctrl+N | 查找下一个 |
| Ctrl+G / Ctrl+M | 跳到包 / 标记包 |
| Ctrl+Alt+C | 切换着色 |
| Ctrl+Shift+P / Ctrl+K | 首选项 / 捕获选项 |
| Ctrl+T | 设置/取消时间引用 |
| Ctrl+R | 重新读取 |
| Ctrl+O | 打开文件 |
更多快捷键帮助菜单里都有，解题高频的就上面这些。