1. Wireshark入门：网络抓包的基本功
第一次接触Wireshark时，我被它密密麻麻的数据流界面吓到了——直到发现它其实是网络工程师的"听诊器"。这个开源工具能让我们看到网络通信最原始的模样，就像给网络流量做了个X光扫描。
安装过程简单到不像专业工具：官网下载对应版本，一路点击"下一步"就行。启动后你会看到所有网卡列表，这里有个新手常踩的坑——一定要选正在使用的网卡。我经常用ipconfig（Windows）或ifconfig（Mac/Linux）确认活跃网卡，比如连接WiFi时就选WLAN接口。
核心界面分为三块黄金区域：
- 数据包列表（像快递物流表）：显示时间、源IP、目标IP、协议等关键信息
- 数据包详情（像解剖报告）：用分层方式展示从物理层到应用层的完整数据
- 十六进制视图（像DNA编码）：原始二进制数据，分析高级问题时才会用到
提示：点击菜单栏的"视图->颜色规则"，可以自定义不同协议的颜色标记，我习惯把HTTP设为亮绿色，TCP设成蓝色，这样一眼就能定位关键流量。
2. ARP协议抓包实战：局域网的身份识别
上周公司打印机突然无法连接，我用Wireshark抓包发现ARP请求没有响应，最终定位是交换机端口故障。ARP（地址解析协议）就像局域网的"身份证查验"系统，负责把IP地址翻译成物理MAC地址。
抓包实验步骤：
- 清空本机ARP缓存（命令：
arp -d *） - Wireshark过滤器输入
arp - 在命令行ping同局域网的另一台设备（如
ping 192.168.1.105）
你会看到两个关键包：
- ARP请求：广播询问"谁是192.168.1.105？"（Opcode=1）
- ARP响应：目标设备回复"我是！我的MAC是..."（Opcode=2）
关键字段解读：
| 字段名 | 示例值 | 实际含义 | |---------------------|----------------------|----------------------------| | Hardware type | 1 (Ethernet) | 硬件类型 | | Sender MAC address | 00:1a:2b:3c:4d:5e | 发送方网卡物理地址 | | Target IP address | 192.168.1.105 | 要查询的目标IP | | Opcode | 1/2 | 1=请求, 2=响应 |实测中发现个有趣现象：如果持续ping一个不存在的主机，ARP请求会以指数退避方式重试（第1秒、3秒、7秒...），这是网络协议的优雅设计。
3. ICMP协议分析：网络世界的回声探测
ICMP最著名的应用就是ping命令。曾经有台服务器能ping通但SSH连不上，通过分析ICMP响应时间，我发现存在严重的网络抖动问题。
深度抓包演示：
- 在Wireshark输入过滤条件
icmp - 命令行执行
ping www.baidu.com - 观察8个ICMP包（4请求+4响应）
关键字段精讲：
- Type 8：回声请求（你的ping命令）
- Type 0：回声应答（对方的回复）
- Identifier：类似会话ID，匹配请求与响应
- Sequence number：序列号，检测丢包
- Data：默认32字节，包含发送时间戳（可用
ping -l修改大小）
# 实际ping命令的高级用法 ping -n 10 -l 1000 -i 200 www.baidu.com # -n 指定次数 # -l 设置数据包大小 # -i 设置TTL值通过对比请求与响应的时间差，可以计算网络延迟。有次我发现某些包的延迟突然飙到500ms+，顺藤摸瓜找到了办公室微波炉干扰WiFi的奇葩案例。
4. TCP三次握手：网络连接的"商务礼仪"
HTTP网页访问、SSH登录这些应用都建立在TCP连接之上。三次握手就像商业合作的建立过程：
- 客户端："我想合作"（SYN）
- 服务器："同意合作，你确认吗？"（SYN+ACK）
- 客户端："确认合作"（ACK）
实战抓包技巧：
- 过滤器输入
tcp.port == 80（抓HTTP流量） - 浏览器访问任意HTTP网站
- 找到
[SYN]、[SYN, ACK]、[ACK]三个标志性数据包
关键参数图解：
第一次握手： Sequence number: 0 (相对值) Flags: SYN=1 第二次握手： Acknowledgment number: 1 (客户端SEQ+1) Sequence number: 0 (服务端初始SEQ) Flags: SYN=1, ACK=1 第三次握手： Acknowledgment number: 1 (服务端SEQ+1) Flags: ACK=1遇到过最棘手的案例是客户端不断发送SYN但收不到响应，最终发现是防火墙丢弃了SYN包。通过Wireshark的"统计->流量图"功能，可以直观看到握手失败的位置。
5. HTTP协议解析：读懂网络通信的明信片
虽然HTTPS已成主流，但学习HTTP协议仍是理解应用层通信的基石。某次调试API接口时，我通过分析HTTP头发现服务端没有返回Content-Length导致超时。
抓包方法进阶：
- 过滤器输入
http - 访问一个非HTTPS网站（如http://example.com）
- 右键请求包 -> "追踪流 -> HTTP流"
HTTP请求关键要素：
- 请求行：
GET /index.html HTTP/1.1 - Host头：虚拟主机识别
- User-Agent：客户端身份
- Accept-*：支持的格式类型
HTTP响应关键要素：
HTTP/1.1 200 OK Server: nginx/1.18.0 Content-Type: text/html Connection: keep-alive <html>...</html>有个调试技巧：在Wireshark的"编辑->首选项->Protocols->HTTP"中，可以设置TCP端口映射，把非80端口的HTTP流量也解析出来。曾经帮同事发现他误把HTTP服务跑在8080端口却忘了在代码里声明。
6. 高效过滤技巧：大海捞针的艺术
面对海量数据包时，过滤语法就是你的雷达系统。这些经验来自我分析过300+次网络故障的积累：
常用显示过滤器：
http.request.method == "GET"（筛选GET请求）ip.src == 192.168.1.100 && tcp.port == 443（特定IP的HTTPS流量）frame contains "password"（搜索敏感内容）tcp.analysis.retransmission（查找重传包，诊断网络质量）
捕获过滤器语法（更节省资源）：
host 8.8.8.8（抓取特定IP的流量）tcp portrange 8000-9000（端口范围）not arp（排除ARP噪音）
有次排查DNS污染时，我用了dns.qry.name contains "google"的过滤器，快速定位到被劫持的域名查询请求。Wireshark的自动补全功能（输入时按Tab键）能帮你快速回忆过滤语法。
7. 高级分析技巧：网络诊断的福尔摩斯
当基础分析不管用时，这些进阶方法往往能出奇制胜：
IO图表分析：
- 点击"统计->IO图表"
- 添加过滤条件如
tcp.analysis.retransmission - 观察重传时间规律（周期性丢包可能是链路问题）
专家信息： 菜单"分析->专家信息"会汇总错误警告，比如：
TCP ACKed unseen segment（可能丢包）Connection reset（异常断开）
Follow TCP Stream： 右键任意TCP包选择该选项，能重组完整会话。有次分析SSH暴力破解时，这个功能让我直接看到攻击者的操作命令。
有个经典案例：某电商APP偶尔加载失败，通过tcp.time_delta过滤器发现某些TCP包的间隔异常，最终定位是移动网络NAT会话超时时间设置过短导致。
![[C++]内存管理：串顺序存储的内存回收](http://pic.xiahunao.cn/yaotu/[C++]内存管理：串顺序存储的内存回收)
