Wireshark
也称为 ethereal、wireshark analyzer
一款数据包截获与分析工具。进程为 Wireshark.exe。Npcap 是 Windows 平台常用的抓包驱动。它不是资源监视器。
您需要了解的内容
Wireshark 负责解码数据包。资源监视器仅显示总量数据。
Wireshark Foundation 的 Wireshark 用于截获和解码网络流量。请从 wireshark.org 获取。Npcap 是 Windows 常用的驱动程序。资源监视器不能进行数据包解码。Nmap 则是扫描器。
- 它是什么？
- 数据包截获与分析工具
- 它和资源监视器一样吗？
- 不是。resmon 只显示总计数据，无法解码协议
- Windows 驱动程序？
- Npcap 是常用的抓包驱动
什么是 Wireshark？
Wireshark.exe 负责解码数据包捕获。dumpcap.exe 负责记录。Npcap 是大多数安装所采用的 Windows 驱动程序。资源监视器是 resmon.exe，无法解码协议。
如果您从未用过它
如果您需要查看网络链路上的原始数据包，Wireshark 是 Wireshark Foundation 官方的分析工具。可从 wireshark.org 下载。在 Windows 上它通常安装 Npcap 作为捕获驱动。它不是仅显示进程网络流量总量的资源监视器，它也不是 Nmap。
它有什么用？
TCP、TLS 握手等多种协议。资源监视器绝不会展示 DNS 查询的解码信息。
文件 > 打开。Nmap 是扫描器。它无法替代这个解码窗口。
http 或 dns 过滤器在此处使用。它们不同于资源监视器的进程列表。
它适合谁？
- 排查异常 DNS 解析或 TLS 失败的技术人员
- 网络课程的学生
- 任何应当仅在允许监测的网络上抓包的人员
当前状态
Wireshark (1998) 是 Wireshark Foundation 推出的一款当前仍在积极维护的数据包分析器。官方仍建议 Windows 用户访问 https://www.wireshark.org/download.html 下载。
它存在多久了？
Gerald Combs 于 1998 年发布了 Ethereal。该项目于 2006 年更名为 Wireshark。资源监视器是 Windows 内置的视图工具。当前版本的 Wireshark 仍由 wireshark.org 发布。
版本
以主要渠道为主。此处并未对所有确切的版本号进行逐一验证。
系统要求
数值遵循发布者的公开指引。实际需求仍会因工作负载而异。
最低配置
| 操作系统 | 根据当前 wireshark.org 上的 Windows 构建版本，适用于 Windows 10 或 Windows 11 |
|---|---|
| 内存 | 足以运行 Windows 加上此应用程序。繁重项目需要更多资源。 |
资源占用概况
- CPU 需求
- 随数据包速率和协议解析器增多而增加
- 内存需求
- 超大 pcap 文件可能会极度消耗内存
- 磁盘需求
- 在繁忙的局域网中，抓包文件体积增长迅速
安装的进程
这些可执行文件属于该产品安装后的组件。
| Wireshark.exe | 分析器窗口 |
|---|---|
| dumpcap.exe | 抓包辅助程序 |
启动项组件
Wireshark 不应该随 Windows 启动。Npcap 是一项驱动程序，并非用于长期挂机抓包的托盘应用。
文件位置
| 典型安装 | C:\Program Files\Wireshark\ |
|---|
文件格式
常见问题
抓包权限不足或缺少 Npcap
重新运行 Wireshark 安装程序并勾选 Npcap。资源监视器不需要捕获驱动程序。
超大 pcap 占满磁盘
使用捕获过滤器。Process Monitor 是另一款日志增长极快的工具。而 Wireshark 的增长源自网络链路。
故障排除
从 wireshark.org/download.html 下载
当安装程序提示时勾选安装 Npcap。如果仅仅需要查看进程总计流量，Windows 已自带资源监视器。
如果未显示任何接口，请以管理员身份运行
数据包捕获需要权限以及 Npcap。Nmap 虽然也有自己的驱动方案（同样基于 Npcap），但它是端口扫描器。
如果 pcap 体积过大，请使用捕获过滤器
host 和 port 过滤器可削减记录的数据量。显示过滤器只是在记录完成后隐藏行。
替代方案
需要简单总计数据请用资源监视器。需要端口扫描请用 Nmap。在现代 Windows 上若需使用微软原生的捕获路径，请用 pktmon。
官方帮助与下载
请先从软件厂商处着手。随意的 exe 网站并不是支持渠道。
| 下载 | www.wireshark.org/download.html 官方安装程序或厂商页面 |
|---|---|
| 帮助 | www.wireshark.org/docs/ 厂商支持 |
| 官方网站 | www.wireshark.org/ 请从此处开始，而非随意的 exe 托管网站 |
相关硬件
您拥有抓包权限的网卡。混杂模式属于网络策略问题，不需要额外的 GPU 资源。
技术细节
技术细节
厂商版本号会发生变动。本文不锁定特定内部版本。
来源与验证
记录的来源标签：August 2026。此标签并不代表已完成独立验证。 我们的研究方式.
- Wireshark 官方网站 · 厂商产品页面
- Wireshark 帮助 · 厂商支持
- Npcap · Wireshark 使用的常见 Windows 抓包驱动
- Foxhole 进程图谱 · Windows PC 上的第一方采集样本。非实验室基准测试。
这篇文章有用吗？
回答"是"或"否"即可。如果您愿意，可以选择一个原因，或添加一段简短附言。
感谢。这有助于我们改进此页面。