打开终端，抓包敲下 `sudo wireshark`，教程选网卡，抓包开始抓包。教程这就是抓包在 Kali 里最直接的方式。别急着去点那个鲨鱼鳍图标，教程先搞清楚你要监听哪块网卡。抓包`ifconfig` 或者 `ip a` 看一眼，教程通常有线是抓包 eth0，无线是教程 wlan0。要是抓包用虚拟机，记得把网络模式设成桥接，教程不然你只能抓到虚拟网卡自己和自己的抓包对话。

Wireshark 的教程界面乍看有点唬人，三栏结构：上面是抓包包列表，中间是包详情，下面是十六进制。其实你只需要盯住第一栏。抓包的时候别开混杂模式去抓整个局域网，除非你有交换机的镜像端口，否则在现代交换网络里你只能看到广播包和你自己的流量。想抓别人的？那得先做 ARP 欺骗，这是另一码事，新手先别碰。

过滤器是核心技能。抓包前设好 capture filter，比如 `host 192.168.1.100 and port 80`，这样只抓目标 IP 的 HTTP 流量。抓完再用 display filter 精筛，比如 `http.request.method == "POST"` 直接看提交了什么表单。我见过有人抓了 200MB 的包然后一帧一帧翻，纯属自虐。记住一个细节：capture filter 用的是 BPF 语法，display filter 是 Wireshark 自己的语法，两者不通用。写错了过滤器，要么抓不到东西，要么界面一片红。

无线抓包稍微麻烦点。Kali 里用 `airmon-ng start wlan0` 把网卡切到监听模式，通常会多出一个 wlan0mon 接口。这时候再开 Wireshark 选 wlan0mon。但注意，监听模式下你只能看到管理帧、控制帧和数据帧，如果网络是 WPA2 加密的，数据帧内容全是乱码。想解密？得先抓四次握手包，然后拿密码去 Wireshark 的偏好设置里填进去。我试过一次，抓了半小时才凑齐一个完整的握手，因为手机重连的时机不好碰。

有个坑得提一下：Kali 默认的 Wireshark 可能没给你普通用户抓包权限。每次都要 sudo 很烦，可以 `sudo dpkg-reconfigure wireshark-common` 选 yes，然后把你的用户加进 wireshark 组。`sudo usermod -aG wireshark $USER`，注销重登。之后直接敲 wireshark 就能跑，不用再输密码。这个细节网上很多教程漏掉，导致新手以为抓包必须 root，其实没必要。

抓完的包存成 pcap 文件，方便反复分析。`File -> Export Specified Packets`，选好范围。别存成 pcapng 然后发给用旧版工具的人，兼容性会出问题。我习惯存 pcap，通用性最好。另外，如果你只是临时看两眼，别开“实时滚动”那个选项，包一多界面卡成幻灯片。关掉它，抓完再手动刷新。

最后说个实际场景。有次排查一个内网服务响应慢的问题，我在 Kali 上抓了客户端和服务器之间的包。display filter 写 `tcp.analysis.retransmission`，立刻看到大量重传。再配合 `tcp.time_delta > 0.5` 找延迟超过半秒的交互，定位到是中间某台交换机的端口协商出了问题。Wireshark 不会直接告诉你答案，但它把证据摆在那里，你得会问问题。

抓包这事，工具只是入口。真正有用的是你对协议的理解。TCP 三次握手、四次挥手、HTTP 请求响应、DNS 查询，这些流程在包里长什么样，你得心里有数。不然抓了一堆包，也只是看个热闹。

(责任编辑：探索)