Wireshark 能抓的抓包包，其他软件不一定抓得到。软件比如你排查一个 TCP 重传问题，个好Wireshark 直接把重传次数、抓包时间间隔、软件原始十六进制字节全摊在你面前，个好连 TCP 流图都能一键生成。抓包这不是软件夸它，是个好事实——大部分网管和渗透测试的人，最后都会回到 Wireshark。抓包它免费，软件跨平台，个好协议解析库几乎覆盖了你听说过的抓包所有协议。缺点是软件界面有点老派，过滤语法得记，个好比如 tcp.port == 443 && ip.addr == 192.168.1.1，新手第一次看会懵。但花半小时学一下，后面省下来的时间远不止半小时。

如果你只是想在 Windows 上看某个程序偷偷连了哪个 IP，别装 Wireshark，用微软的 Network Monitor 或者更轻的 SmartSniff。SmartSniff 很小，打开就能选网卡，抓到的包按会话分组，直接看 ASCII 内容。有一次我怀疑一个桌面软件在后台传数据，SmartSniff 跑了五分钟，发现它每三十秒往一个阿里云 IP 发一次 POST，内容里带着机器码。换 Wireshark 也能做，但没必要。工具选轻的，省事。

macOS 用户有个隐藏选项：tcpdump 命令行。系统自带，不用装。抓完存成 pcap 文件，再用 Wireshark 打开分析。我经常这么干——在服务器上跑 tcpdump 抓半小时，下载到本地慢慢看。命令就一行：sudo tcpdump -i en0 -w capture.pcap。比在服务器上装图形界面靠谱得多。Linux 同理，tcpdump 几乎是标配。别小看命令行，它抓包效率比大多数图形工具高，因为不渲染界面。

有人问 Fiddler 和 Charles。这俩是 HTTP/HTTPS 代理抓包，不是网卡层抓包。Fiddler 只支持 Windows（现在有 Fiddler Everywhere 跨平台了，但收费），Charles 是 Java 写的，跨平台，macOS 上用得比较多。它们的强项是改请求、断点调试、模拟弱网。你抓一个 App 的 HTTPS 接口，用 Charles 设置代理，手机装证书，就能看到明文 JSON。Wireshark 做同样的事要配 SSLKEYLOGFILE，麻烦得多。所以做 Web 或 App 接口调试，Charles 和 Fiddler 更顺手。但抓非 HTTP 流量，比如游戏协议、DNS 查询、ARP 广播，它们就无能为力了。

还有个冷门但好用的：Burp Suite。渗透测试的人拿它抓 HTTP 请求，改参数、重放、扫描漏洞。社区版免费，够用。它的代理模式跟 Charles 类似，但更偏向安全测试。我见过有人拿 Burp 抓自己家智能摄像头的流量，发现它往一个没加密的 HTTP 端点传截图。这种事 Wireshark 也能发现，但 Burp 的 Repeater 功能让你能直接改包重发，验证漏洞更快。

选哪个，看你要干什么。排查网络层问题——丢包、延迟、重传——Wireshark 或 tcpdump。调试 HTTP API——Charles、Fiddler、Burp。只想快速看某个程序连了谁——SmartSniff 或系统自带工具。别指望一个软件通吃。我自己的机器上装了 Wireshark、Charles 和 tcpdump，按场景换着用。工具是死的，问题是活的。