Wireshark

Wireshark bóc lưu lượng mạng ra theo từng gói. Nó đọc tệp capture dạng pcap và pcapng, trình bày mỗi khung tin thành một cây các tầng giao thức, từ Ethernet và IP lên TCP hay UDP rồi tới giao thức ứng dụng nằm trên cùng, bên cạnh là phần byte thô tự sáng lên theo trường đang chọn.

Phần dùng nhiều nhất là ngôn ngữ display filter: một biểu thức nêu địa chỉ máy, cổng, tên giao thức hoặc phép so sánh trên một trường sẽ thu hàng nghìn khung tin về đúng phiên cần xem. Các khung tin thuộc cùng một luồng có thể ghép lại để đọc liền mạch, còn nhóm menu thống kê tổng hợp theo phiên, theo đầu cuối, theo tỉ lệ giao thức và theo thời gian đáp ứng. Lưu lượng TLS giải mã được nếu cung cấp khoá phiên, và rất nhiều giao thức ứng dụng có bộ bóc tách riêng.

Bản đóng gói được mô tả ở đây là bản không kèm khả năng bắt gói trực tiếp, nên nó làm việc trên tệp đã capture ở nơi khác, chẳng hạn bằng tcpdump hay dumpcap trên máy nhìn thấy lưu lượng. Việc mở một tệp capture có sẵn không đòi quyền đặc biệt.