WireShark 是一款网络协议分析工具，常被用于网络故障排查、性能监控、安全分析和协议开发等场景。打开应用后，先选定要捕获流量的网络接口，再点击“开始捕获”，抓到的数据包会列在主窗口里。你可以通过过滤器快速定位特定数据包，并查看每条记录的详细内容。
新手抓包流程
在 Windows 环境下，可以直接使用 WireShark 客户端完成抓包。
在 Linux 环境下，先用 tcpdump 生成 pcap 文件，再把文件导入 WireShark 进行分析。
示例命令：tcpdump -s0 host 192.168.162.103 and port 9999 -w my.pcap
1. 观察三次握手与四次挥手。
四次挥手只出现 3 个 TCP 分组，原因是两个方向的连接断开彼此独立：每个方向各发一个 FIN，对端回复 ACK。但 TCP 允许 ACK 捎带在其他数据包里，所以主动断开方本应收到的 ACK，可能被对方的 FIN 包一并带回，最终只看到 3 个包。并非所有情况都如此，比较典型的一种是：主动断开方发出 FIN 后，被动方还有数据要发，会先单独 ACK 这个 FIN，再继续发送数据；期间主动断开方仍会持续 ACK 这些数据，等被动方发完数据后再发 FIN，并接收对方 ACK。
2. 观察 TCP 心跳检测机制。
TCP 心跳服务端参数说明：
2.1 模拟客户端一段时间不传输数据
服务器 net.ipv4.tcp_keepalive_intvl = 10，客户端 sleep 了 22 秒，因此服务端进行了 2 次心跳检测。
2.2 模拟 MySQL Client 突然掉线，抓取 Server 端
最后一次正常请求过去 10 秒后，服务端开始发送心跳包。
心跳包间隔 3 秒，共发送 3 次。
3 次之后，服务端关闭连接。
核心优势
· 界面简洁，安装包体积不大，且没有广告。
· 适配性较好，安卓开发者和普通使用者都能用。
· 支持悬浮窗设置，抓包的同时可以继续操作目标应用，还能抓取音频和视频内容。
功能亮点
· 定位为系统辅助类工具。
· 针对安卓手机上的 HTTPS 网络请求进行抓取与解析。
· 自动保存 HTTP 和 HTTPS 请求，且无需 ROOT 权限。
· 抓包结果支持直接查看，也能抓取音频和视频。
· 支持悬浮窗设置，抓包期间可同时使用目标应用。
数据查看方式
Raw 视图：用于查询原始记录。
Hex 视图：以 Hex 方式查看请求体或回应体内容。
Text 视图：以 Text 方式查看请求体或回应体内容。
图片视图：可浏览 BPM、PNG、GIF、JPG、WEBP 等格式的图片内容。
音频视图：可播放 AAC、WAC、MP3、OGG、MPEG 等格式的音频内容。
