wireshark和xplico

1. WireShark

wireshark运行在Windows上，底层依赖winpcap包。
wireshark可以抓取包保存为pcap格式文件，可以进行过滤，但是不能够拆包分析包的内部内容。

2. xplico

xplico运行在Linux上保存为pcap格式文件，底层依赖libpcap包，不但可以抓包还可以拆包分析内部的数据。xplico有两种模式，一种是在线模式就是抓包；一种是离线模式就是拆包，可通过xplico来配置解析规则，也可以通过自己编写c代码来解析。