使用 Wireshark 在 Ubuntu 22.04 上抓包分析网络流量

在 Ubuntu 22.04 上安装和使用 Wireshark，按照以下步骤操作：

---

1. 安装 Wireshark

方式 1：使用 APT 安装（推荐）

Wireshark 在 Ubuntu 的官方仓库中，你可以直接使用 apt 安装：

sudo apt update
sudo apt install wireshark -y

安装完成后，检查 Wireshark 版本：

wireshark --version

---

2. 运行 Wireshark

方式 1：GUI（图形界面）运行

如果你想在桌面环境下运行 Wireshark，可以在终端输入：

wireshark

或者，在应用菜单中搜索 Wireshark 并点击运行。

方式 2：CLI（命令行模式）运行

如果你想在命令行模式下运行 Wireshark（类似 tcpdump），可以使用：

tshark

例如，监听 eth0 接口的流量：

sudo tshark -i eth0

---

3. 让非 root 用户使用 Wireshark

默认情况下，Wireshark 需要 root 权限才能抓包。如果你想让当前用户无 root 权限也能使用 Wireshark：

sudo dpkg-reconfigure wireshark-common

选择 “Yes”，然后将当前用户加入 wireshark 组：

sudo usermod -aG wireshark $(whoami)

注销并重新登录（或者执行 newgrp wireshark 使更改生效）。

---

4. 启动抓包

方式 1：使用 GUI 抓包

1. 打开 Wireshark
2. 选择一个网络接口（如 eth0、wlan0）
3. 点击 Start 开始抓包

方式 2：使用 tshark 命令行抓包

列出可用网络接口

tshark -D

示例输出：

1. eth0
2. wlan0
3. lo

抓取特定接口的流量

抓取 eth0 接口的数据：

sudo tshark -i eth0

抓取并保存到文件：

sudo tshark -i eth0 -w capture.pcap

使用过滤器

抓取 特定端口 的流量（如 443 HTTPS 流量）：

sudo tshark -i eth0 port 443

抓取 特定 IP 地址 的流量：

sudo tshark -i eth0 host 192.168.1.1

---

5. 使用 Wireshark 过滤数据

Wireshark 支持多种过滤规则，常见的过滤器如下：

过滤器	说明
ip.addr == 192.168.1.1	过滤指定 IP 地址的数据包
tcp.port == 443	仅查看 HTTPS（端口 443）流量
http	仅显示 HTTP 流量
tls	仅显示 TLS（HTTPS）流量
udp.port == 53	仅显示 DNS 查询（UDP 53 端口）

---

6. 卸载 Wireshark

如果你不再需要 Wireshark，可以卸载：

sudo apt remove --purge wireshark -y
sudo apt autoremove -y

---

总结

• 安装 Wireshark：sudo apt install wireshark
• 非 root 用户使用：sudo usermod -aG wireshark $(whoami)
• GUI 运行：wireshark
• CLI 运行：tshark -i eth0
• 常用过滤器：ip.addr == x.x.x.x、tcp.port == 443、http