先确认 Windows 系统架构

绝大多数使用 Intel 或 AMD 处理器的 Windows 10、Windows 11 电脑应选择 x64 版；采用 Snapdragon 等 ARM 处理器的设备选择 Arm64 版。便携版适合临时打开已有的 pcap 文件，但实时抓包仍依赖系统中的抓包驱动。本站不同版本入口统一跳转到夸克网盘，进入后请按文件名选择对应安装包。

安装 Wireshark 与 Npcap

运行安装程序后，可以保留默认组件，包括主程序、TShark 和常用命令行工具。安装向导询问 Npcap 时建议保留勾选，因为 Windows 上的实时数据包捕获需要它。普通分析无需启用兼容旧版 WinPcap 的选项；若已有旧驱动，应先关闭正在进行的抓包任务再升级。

只在你拥有管理权或明确授权的网络中抓包。公共网络和他人设备的通信数据可能涉及隐私与合规要求。

完成第一次抓包

启动 Wireshark 后，欢迎页会列出以太网、Wi-Fi、虚拟网卡等接口。观察接口旁的小型波形，选择正在产生流量的一项双击开始。打开浏览器访问一个网页，随后点击红色停止按钮。若列表中出现 DNS、TCP 或 TLS 数据包，说明捕获环境已经可用。

第一次显示过滤

在顶部过滤栏输入 dns || http || tls 并按回车，可只显示常见的网页访问流量。过滤栏变为绿色表示语法有效；红色表示字段或运算符存在错误。保存时建议使用 pcapng 格式，它能保留接口和注释等更多信息。