使用Wireshark抓包时如何查看HTTP响应中的HTML内容？

你遇到的页面正常加载、但对应响应帧找不到响应体的问题，是Wireshark抓HTTP包的常见问题，按以下优先级排查即可：

• 首先排查TCP重组配置问题
  单以太网帧的TCP有效载荷最大通常为1460字节，只要你的HTML文档长度超过这个值，HTTP响应就会被拆成多个TCP分段传输。你看到的6号帧大概率只是承载HTTP响应头的第一个分段，剩下的HTML内容全在后续的TCP帧里，Wireshark默认如果没开重组功能，不会自动把分散的分段拼成完整的HTTP响应，单独打开6号帧自然看不到body、找不到你写的button/input标签。
  修复操作：
  1. 打开Wireshark顶部菜单「编辑」→「首选项」→展开「Protocols」找到HTTP配置项，勾选以下三个选项：
     • Reassemble HTTP headers spanning multiple TCP segments
     • Reassemble HTTP bodies spanning multiple TCP segments
     • Allow subdissector to reassemble TCP streams
  2. 不要逐帧翻找内容，找到6号帧后右键选择「Follow」→「HTTP Stream」，弹出的流窗口会直接展示完整的HTTP交互内容，蓝色部分就是主机返回的完整响应，直接就能看到你写的全部HTML代码。
• 其次排查抓包点与网卡卸载配置问题
  如果开了重组还是看不到内容，大概率是抓包位置不对或者网卡硬件开了卸载功能导致漏抓分段：
  1. 不要在虚拟交换网卡、主机回环口上抓包，优先选择桥接模式下的主机物理网卡，或者直接在虚拟机内部的系统网卡上启动抓包
  2. 关闭网卡的硬件卸载功能，避免Wireshark抓到的是协议栈提交的未分段帧、而网卡实际发出去的分段内容没被捕获：
     • Windows系统：打开网卡属性→「配置」→「高级」选项卡，把IPv4校验和卸载、TCP校验和卸载、大发送卸载(TSO)、大接收卸载(GRO)全部设置为关闭
     • Linux系统：执行命令ethtool -K <你的网卡名> tso off gso off gro off rx-checksumming off tx-checksumming off临时关闭
• 最后验证传输编码问题
  查看6号帧里的HTTP响应头：如果存在Transfer-Encoding: chunked或者Content-Encoding: gzip标识，说明响应是分块传输/压缩传输的，第一帧只会返回响应头和起始分块标记，完整内容同样分散在后续帧，开启TCP重组后Follow HTTP Stream就能看到Wireshark自动解码后的完整HTML内容。

验证小技巧：你直接看6号帧响应头的Content-Length字段值，如果这个值大于当前帧TCP层标注的载荷长度，100%是响应被拆分到多个帧了，本身HTTP交互没有任何问题——毕竟浏览器已经成功渲染页面，说明网络传输本身是正常的，只是Wireshark的解析配置不对。

内容的提问来源于stack exchange，提问作者user19470144