抓包软件下载

Wireshark 装完第一件事，抓包不是软件去抓包，是下载去改权限。Linux 下不把用户加进 wireshark 组，抓包每次启动都得 sudo，软件抓到的下载包还全是 root 属主，回头用 tshark 分析文件都读不了。抓包这个坑我踩过三次，软件每次换新机器都忘。下载

抓包软件分两类。抓包一类是软件 Wireshark 这种图形化的，打开就能看见网卡列表，下载点一下开始，抓包满屏协议树状展开。软件另一类是下载 tcpdump、tshark 这种命令行的，SSH 连到服务器上，没图形界面，全靠参数吃饭。很多人只装 Wireshark，觉得命令行的是上古遗物。实际排查线上问题时，tcpdump 才是第一反应——服务器不让你装图形界面，甚至不让你随便装软件，但 tcpdump 通常预装着。

下载渠道这件事得单独说。Wireshark 官网 wireshark.org 直接给各平台安装包，Windows 的 exe、macOS 的 dmg、Linux 的源码和发行版仓库都有。国内访问官网速度还行，但下载大版本更新时偶尔断流。有人图快从第三方站下，结果装完发现捆绑了浏览器主页锁定。我一般建议 Windows 用户直接去官网，或者用 winget install Wireshark 一条命令搞定。macOS 用 brew install --cask wireshark，装完还会提示你把当前用户加进 access_bpf 组，否则只能抓 lo 口。

tcpdump 不用单独下载。CentOS 和 Ubuntu 都自带，没有的话 yum install tcpdump 或 apt install tcpdump 就完事。真正要下的是 tshark，它跟 Wireshark 同一个包，Linux 下 apt install tshark 会自动处理依赖。tshark 的好处是能读 pcap 文件做过滤统计，比如 tshark -r test.pcap -Y "http.request" -T fields -e http.host 直接列出所有 HTTP 请求的 Host 头。这个在分析别人给的抓包文件时特别省事，不用开图形界面。

Windows 上还有个老牌工具叫 Microsoft Network Monitor，早停更了，但有些老工程师还在用。它的替代品是 Microsoft Message Analyzer，也停了。现在 Windows 平台基本是 Wireshark 一家独大。偶尔有人提 Fiddler，那是抓 HTTP 代理的，跟网卡层抓包不是一回事。Fiddler 适合看 HTTPS 解密后的请求响应，Wireshark 适合看 TCP 重传、TLS 握手失败、DNS 解析慢这类底层问题。两个都装不冲突。

下载完 Wireshark 第一次启动，会弹一个 Npcap 安装提示。Windows 上抓包依赖 Npcap 驱动，不装就只能看到假接口。Npcap 安装时有个选项叫“Restrict Npcap driver's access to Administrators only”，默认勾着。勾着的话普通用户抓不了包，得取消勾选或者每次右键管理员运行。我习惯取消勾选，方便。但公司安全策略严的机器，IT 会强制勾上，那就老老实实管理员运行。

版本选择上，Wireshark 4.x 对 TLS 1.3 的解密支持比 3.x 好很多。如果你要分析 HTTPS 流量，又拿到了 session key，4.0 以上版本在 Preferences 里填 key log 文件路径就能自动解密。3.6 以前这个功能藏得深，还经常解不出来。所以别下旧版，官网首页给的就是最新稳定版，直接下。

最后提一个下载时容易忽略的点：校验哈希。Wireshark 官网每个安装包旁边都有 SHA256。Windows 上用 certutil -hashfile 文件名 SHA256 算一下，跟官网对一眼。倒不是怕官网被黑，是怕下载中途网络抖动导致文件损坏，装完运行崩溃还找不到原因。这个习惯花十秒钟，省半小时排查。