Wireshark

Wireshark 逐个数据包地解码网络流量。它读取 pcap 和 pcapng 格式的捕获文件，并呈现每个帧，其协议层扩展为树状结构，从以太网和 IP 一直到 TCP 或 UDP 以及位于顶部的任何应用程序协议，原始字节显示在旁边并在选择字段时突出显示。

其显示过滤语言是大部分工作发生的地方：命名主机、端口、协议或字段比较的表达式将数千个帧缩小到相关的会话。属于一起的帧可以作为重组流进行跟踪，统计菜单总结了会话、端点、协议分布和响应时间。当提供会话密钥时，可以解码 TLS 流量，并且大量应用程序协议具有专用的解析器。

这里描述的打包被指出没有实时捕获支持，因此它对在别处捕获的文件进行操作，例如通过看到流量的机器上的 tcpdump 或 dumpcap。读取现有的捕获文件不需要提升的权限。