必须跳过全选导出，Wireshark提供三种精准导出路径：导出选定数据包为PCAP供复现、导出HTTP/FTP等协议中的真实文件（如EXE）、导出结构化文本报告供简报或统计。
当你在安全事件响应中需要把某次恶意C2通信的原始流量单独交给取证平台做沙箱分析，或者要从15GB的抓包文件里提取出3个HTTP上传的可疑EXE文件时，必须跳过“全选→导出全部”这种低效操作。Wireshark的导出功能不是只有File→Save As一种用法，每种导出路径对应不同证据层级和下游用途。
导出选定数据包为PCAP格式
这是最基础也最常被误用的操作：只导出你真正关心的那几条报文，保留完整协议头和时间戳，供其他分析工具复现。
第一步：在数据包列表中按住Ctrl键逐个点击目标报文，或拖动鼠标框选连续范围。
第二步：点击顶部菜单栏【File】→【Export Specified Packets…】。
第三步：在弹出窗口中确认Packet Range为Selected packets，Output Format保持默认的PCAP（不要选PCAPNG，某些老旧分析系统不兼容）。
第四步：输入文件名并保存——【务必关闭“Include packet bytes”以外的所有勾选项】，否则会额外写入Wireshark私有元数据，破坏取证链完整性。
导出HTTP/FTP等协议中的真实文件
当攻击者通过Web上传木马、用FTP下载凭证时，Wireshark能直接还原传输的原始文件，无需手动拼接TCP流。
方法一：自动识别导出对象
点击【File】→【Export Objects】→选择对应协议（如HTTP、FTP、SMB）。窗口列出所有可提取文件，包括服务器返回的Content-Type和文件名。直接选中→Save即可。
方法二：手动追踪流导出原始数据
先用显示过滤器定位目标流，例如http.request.uri contains ".exe"；右键该报文→【Follow】→【HTTP Stream】；在弹出窗口左下角切换“Show and save data as”为Raw；点击【Save as】，保存为.exe或.jpg等扩展名。
注意：HTTP对象列表里显示的文件名可能被篡改，导出后必须用file命令或010 Editor验证文件头，比如Windows PE文件必须以MZ开头。
导出数据包摘要为文本报告
给非技术人员写事件简报，或导入Excel做统计时，需要的是结构化文本而非二进制。
点击【File】→【Export Packet Dissections】→【As Plain Text File】。
在配置窗口中，Display Format选Summary + Details + Data——这会同时包含时间戳、IP五元组、协议解析树和十六进制载荷，但【切勿选“All packets”导出超大文件】，先用过滤器缩小范围，比如tcp.flags.syn == 1 && tcp.window_size
导出的TXT文件可直接用Notepad++打开，搜索关键词快速定位异常行为。
导出单个数据包的原始字节流
当你需要把某个TLS Client Hello的Raw Bytes喂给密码学工具做指纹比对，或提取DNS查询域名的原始二进制字段时，必须跳过解析层直达字节。
在数据包列表中选中目标报文，在下方Packet Bytes面板中右键任意字节→【Export Packet Bytes】。
这一步操作起来很简单，直接把文件拖进去就行，保存为.bin后缀即可。
如果只需导出某一层字段（如TCP payload），在Packet Details面板展开对应协议→右键payload行→【Copy】→【Bytes】→【Hex Stream】，粘贴到文本编辑器里用xxd -r转换回二进制。
