文章总结： 文章介绍了Wireshark在网络安全中的实际应用，强调其作为抓包分析工具的重要性。作者分享了三个核心技巧：通过追踪TCP流查看明文内容（如密码）、使用过滤条件检测恶意外连域名、以及识别暴力扫描的SYN包。文章鼓励安全从业者掌握这些基础操作，以提升渗透测试和应急响应效率，并附有法律声明强调仅限授权使用。 综合评分： 89 文章分类： 安全工具,渗透测试,应急响应,漏洞分析,安全意识

刚入门时，师傅让装了Wireshark，到现在为止打开不到五次，师傅让我下次吃饭坐小孩那桌！！！

原创

是老A 是老A

老A搞安全

2026年8月13日 08:02 贵州

在小说阅读器读本章

去阅读

一位深耕网络安全的老兵，目前是一家安全公司的技术分管，擅长渗透测试及安全培训方向，老A的愿望是大家没烦恼，一切顺心！

菜就算了，手里拿着狙击枪，你却用它来砸核桃

Wireshark是好东西，要用起来！

不过也能理解，看不懂的时候它就是满屏乱码，看得懂的时候它就是“上帝视角”

先给你捋一捋：Wireshark到底能干嘛？怎么简单上手？

Wireshark把你电脑网卡上飞过的所有数据包（网络流量）全部记录下来。你平时上网，数据包就像高速上的车流，嗖嗖嗖你看不清。Wireshark就是给你一个“逐帧回放”的功能，让你看清每一辆车（数据包）从哪里来、到哪里去、拉了什么货。

示例1：很多老系统或者内网还在用明文传输时。你只需要对着一个HTTP请求点右键 -> 追踪流（Follow） -> TCP流。

这个时候，你输入的用户名、密码、聊天内容、浏览记录，全部是明文显示

示例2：还有有些木马或者软件会在后台偷偷连一些奇怪的网站

我们只需在过滤栏输入 dns 或者 http

如果发现你的电脑一直在请求一个乱七八糟的域名，那极大概率是中了挖矿病毒或者远控木马，这时候就需要警惕了！

示例3：如果有人用工具扫你的服务器，或者一直在试密码爆破

你会发现同一个IP不停地发SYN请求（握手请求），或者出现大量的TCP Retransmission（重传）和401/403报错

所以所以……会用Wireshark，在应急响应时，你会感谢它的

分享两个小技巧

1、万能过滤公式（只抓你想要的）：

只看HTTP（网页）： http

只看IP地址（看谁在捣乱）： ip.addr == 192.168.1.100

只看特定端口（比如扫端口）： tcp.port == 80

2、密码搜索大法（Ctrl+F）：

在包里按 Ctrl+F，选择“字符串”，直接搜 password 或者 pass。

如果搜出来了明文的password=xxxxx，啥也别说，拿下一个高危

看到满屏乱码，不要想着怕，也不用管那些复杂的TCP状态

你就记住：看明文内容（看HTTP/FTP）、找恶意外连（找奇怪域名）、查暴力扫描（看大量SYN包）。

就这三招，足够你在渗透测试、CTF比赛或者日常排查中解决90%的问题了

赶紧卷起来，不要让你的Wireshark上了灰

文章背景：周一团队接了个应急服务，闲下来就想着和大家分享分享，没有固定的方向，只分享近期自己遇到的一些事

⚠️ 法律声明：以上内容仅供安全学习和授权测试使用。未经授权的漏洞利用属于违法行为，请勿对未经授权的目标进行测试

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：老A搞安全 是老A 是老A《刚入门时，师傅让装了Wireshark，到现在为止打开不到五次，师傅让我下次吃饭坐小孩那桌！！！》