Wireshark如何过滤并捕获浏览器HTTP请求？

Question

如何在Wireshark中正确设置过滤规则以捕获特定浏览器发起的HTTP请求？常见问题包括：使用捕获过滤器（如`port 80`）时无法捕获HTTPS流量（应使用端口443），或误用BPF语法导致漏包；应用显示过滤器（如`http.request.method == "GET"`）后仍无法定位目标请求。此外，浏览器可能通过HTTP/2或加密隧道（如QUIC）通信，导致传统HTTP过滤失效。如何结合协议解析与主机IP、域名（如`http.host contains "example.com"`）精准捕获目标流量？

Answer 1

如何在Wireshark中正确设置过滤规则以捕获特定浏览器发起的HTTP请求

1. 理解捕获过滤器与显示过滤器的基本区别

在Wireshark中，过滤分为两个层次：捕获过滤器（Capture Filter）和显示过滤器（Display Filter）。捕获过滤器基于BPF（Berkeley Packet Filter）语法，在数据包进入内存前进行筛选，减少性能开销；而显示过滤器使用Wireshark自定义语法，在捕获后对已捕获的数据包进行过滤展示。

• 捕获过滤器示例： port 80 or port 443
• 显示过滤器示例： http.request.method == "GET"

误用这两类过滤器是常见问题的根源。例如仅使用port 80将无法捕获HTTPS流量，因其默认使用端口443。

2. 正确配置捕获过滤器以涵盖现代Web协议

协议类型	默认端口	推荐捕获过滤器
HTTP	80	port 80
HTTPS / HTTP/2 over TLS	443	port 443
QUIC (HTTP/3)	443 (UDP)	udp port 443

若目标浏览器使用HTTP/3（基于QUIC），必须监控UDP端口443，否则即使开启监听也无法捕获任何有效载荷。

3. 常见错误及调试方法

1. 仅使用port 80导致HTTPS流量被忽略
2. BPF语法错误，如写成tcp.port == 80（应为port 80）
3. 未启用混杂模式，导致部分流量丢失
4. 本地回环接口未正确配置（需使用Loopback: lo或rpcap://\Device\NPF_{...}）
5. 防火墙或杀毒软件拦截原始套接字访问

# 正确的综合捕获过滤器（覆盖HTTP、HTTPS、QUIC）
port 80 or port 443 or udp port 443

4. 显示过滤器进阶技巧：精准定位浏览器请求

当使用显示过滤器时，传统http.host contains "example.com"适用于HTTP明文请求，但对加密流量无效。此时需结合以下策略：

TLS Server Name Indication (SNI):

tls.handshake.extensions_server_name contains "example.com"

HTTP/2 伪头部:

http2.headers.authority contains "example.com"

QUIC解析支持（Wireshark 3.6+）:

quic.tls.sni contains "example.com"

通过这些字段可实现跨协议的域名匹配。

5. 结合IP地址与域名实现多维度过滤

为了进一步缩小范围，建议联合使用源/目的IP与高层协议字段：

# 示例：捕获从本机发出且目标包含example.com的请求
ip.src == 192.168.1.100 and (
  http.host contains "example.com" or 
  tls.handshake.extensions_server_name contains "example.com" or 
  http2.headers.authority contains "example.com"
)

该表达式兼容HTTP/1.x、HTTP/2（TLS）、并排除无关主机干扰。

6. 处理加密协议带来的解析挑战

graph TD A[开始捕获] --> B{是否使用HTTPS?} B -- 是 --> C[TLS握手阶段提取SNI] B -- 否 --> D[直接解析HTTP Host头] C --> E{是否启用SSL/TLS解密?} E -- 是 --> F[配置RSA密钥日志文件
(SSLKEYLOGFILE)] E -- 否 --> G[仅能查看SNI，无法解析HTTP内容] F --> H[完整解密HTTP/2流] H --> I[应用http2.*过滤器]

对于Chrome/Firefox等支持SSLKEYLOGFILE的浏览器，可通过环境变量导出会话密钥，使Wireshark解密TLS流量，进而分析HTTP/2帧结构。

7. 实战案例：捕获Edge浏览器访问百度搜索请求

步骤如下：

1. 设置系统环境变量：SSLKEYLOGFILE=C:\temp\sslkey.log
2. 启动Edge并访问 https://www.baidu.com/s?wd=test
3. 在Wireshark中选择网卡并设置捕获过滤器：host www.baidu.com
4. 停止捕获后应用显示过滤器：http2.headers.path contains "/s?wd="
5. 若未启用解密，则使用：tls.handshake.extensions_server_name == "www.baidu.com"
6. 结合TCP流追踪功能（右键→Follow→TCP Stream）查看完整请求响应

此流程确保即使在HTTP/2+TLS环境下也能精准定位用户行为。