进行DDoS攻击取证时，首先需要启用Wireshark工具开始捕获网络流量。在捕获网络流量期间，要注意保证攻击者的攻击与其他正常流量相区别。如果流量过于复杂无法正常区分，可以使用过滤器筛选攻击流量。当发现攻击者的攻击流量后，需要记录下如攻击流量的源地址、目标地址、时间戳以及攻击方式等信息。在记录信息时，需要在Wireshark上可见，因为Wireshark有一个Navigator面板，可以把所有的流量分类，使取证更清晰，便于分析。