wireshark 抓包

1. 限制单包大小
可以通过限制每个包的尺寸来减少整个抓包文件的大小。旧版本的wireshark在执行菜单栏上的Capture -> Options，在弹出的对话框中找到Limit each packet to，填写合适的单包大小（如200，单位是Byte）。新版本的wireshark（2.x以后）的Options对话框变化比较大，限制单包的方法是：在弹出的Options对话框中，找到要抓包的Interface，选中它，找到列表标题中的Snaplen(B)，单击对应栏，发现变为可输出状态，在这里输入限制的单包大小即可（同旧版本的Limi each packet to）。见下图：

 

2.巧用ping来分隔抓包操作步骤
可以利用ping -n 1 -l x（其中x=1,2,3……）来巧妙的分隔抓包操作步骤，什么意思呢？比如我们只想要某个操作的相关抓包内容，在抓包文件中怎么快速找到这个操作的起始范围呢？可以这样做：

?

1 2 3

ping IP -n 1 -l 1 do something ping IP -n 1 -l 2

第一条ping，发送1字节（使用-l设定），只发1次
第三条ping，发送2字节（使用-l设定），只发1次

这样，在最终的抓包文件中，我们就可以寻找ping命令对应的ICMP，查看data size：在1字节和2字节之间的那些编号的包，就是我们上面 do something对应的抓包内容了。