内容摘要：Wireshark装了三年，我真正用到的功能不到十分之一。大多数时候，我只是想看看某个APP在后台偷偷传了什么数据，或者调试自己写的爬虫时确认一下请求头有没有带对。抓包这事儿，其实没你想的那么玄乎。

Wireshark装了三年，抓包我真正用到的工具功能不到十分之一。大多数时候，电脑端我只是抓包想看看某个APP在后台偷偷传了什么数据，或者调试自己写的工具爬虫时确认一下请求头有没有带对。抓包这事儿，电脑端其实没你想的抓包那么玄乎。

电脑端抓包工具分两派。工具一派是电脑端Wireshark这种系统级监听，直接怼在网卡上，抓包所有经过的工具数据包都得过一遍它的眼。另一派是电脑端Fiddler、Charles这类代理型工具，抓包它们在你和互联网之间插了一脚，工具专门放行HTTP/HTTPS流量。电脑端你要是只搞Web开发或者爬虫，后者反而顺手得多——Wireshark那种铺天盖地的TCP握手包，能把人看瞎。

我最早用的是Fiddler Classic。装完打开，浏览器里的请求就开始排队列了。左侧是会话列表，点开一个，右侧能看到完整的请求头、响应体、Cookies。有个功能特别实用：断点调试。你可以手动改掉请求参数再放行，服务器那边完全察觉不到。去年我调一个登录接口的加密逻辑，就是靠Fiddler的断点功能，把signature参数改了几十次，硬是试出了它的拼接规则。

但Fiddler有个毛病——对现代浏览器的HTTPS解密越来越吃力。Chrome更新到某个版本后，证书信任机制变严了，你得手动把Fiddler的根证书导入系统信任区，操作步骤繁琐不说，稍不留神就漏掉某一步。后来我换成了Charles，界面比Fiddler清爽，跨平台支持也好。它的Map Local功能堪称神器：直接把线上接口的响应替换成本地JSON文件，前端调试接口时不用再求后端改数据了。

说回Wireshark。它确实强大，但学习曲线陡峭得吓人。头一回打开，满屏的协议列表，TCP、UDP、ARP、DNS……你不知道该看哪个。我摸索出的经验是：先别管那些底层协议，直接用过滤器输入http.request或者tls.handshake.type==1，把范围缩小到HTTP请求或TLS握手阶段。有一次我排查一个DNS污染问题，就是靠Wireshark的DNS过滤器，看到本地DNS服务器返回了一个不属于任何CDN节点的IP，这才找到了问题根源。

新手容易踩的坑：Wireshark抓不到本地回环流量。你访问localhost或者127.0.0.1，数据不经过物理网卡，默认抓不到。解决办法是装Npcap时勾选“loopback traffic”支持，或者干脆用代理工具来抓本机请求。另外，抓HTTPS包时别忘了装证书并配置SSLKEYLOGFILE环境变量——Chrome和Firefox都支持这个，设置后Wireshark才能解开TLS加密内容。

工具选型这事儿，别跟风。如果只是调试网页接口，Fiddler Everywhere（新版跨平台版）或者Charles足够；要是做网络安全分析、协议逆向，那必须上Wireshark。我个人现在的组合是：日常爬虫调试用Charles，偶尔深挖协议细节就开Wireshark。两者互补，基本覆盖了所有场景。

最后说句实在话——抓包工具只是辅助，核心还是你要有清晰的排查思路。我之前遇到一个诡异问题：同一个接口，用Postman调没问题，但爬虫跑起来就超时。抓包对比发现，Postman自动加了Accept-Encoding: gzip头，而我的爬虫代码没加，服务器就返回了未压缩的完整数据，传输时间翻倍。这种细节，不抓包根本看不出来。

工具就摆在那里，用得好不好，全看你怎么使。