3. 抓包原理与环境搭建：抓包原理、网卡混杂模式、抓包工具安装与配置

3.1 抓包的核心原理：数据包如何被“看见”

抓包的本质，是在网络协议栈的某个“观察点”上，对经过的报文进行复制与解析。抓包工具本身并不“拦截”或“修改”报文，而是通过操作系统提供的抓包接口（如 libpcap/WinPcap/Npcap），将网卡收到的原始帧复制一份到用户态缓冲区，再由上层工具进行协议解码与展示。

理解抓包原理，必须区分三个关键位置：

• 物理链路层：网卡接收到的电信号/光信号被还原为比特流，此时尚无任何地址过滤。
• 网卡驱动层：网卡固件根据自身模式（普通模式或混杂模式）决定是否将帧交给主机协议栈。
• 协议栈与抓包接口：即使帧被丢弃（如目的MAC不是本机），libpcap 仍可通过驱动旁路获得副本。

下图展示了抓包工具在协议栈中的“旁路观察”位置，以及混杂模式对帧接收范围的影响：

3.2 网卡混杂模式：原理与设置方法

网卡默认工作在非混杂模式下，此时网卡固件会检查每个到达帧的目的MAC地址：只有目的MAC等于本机MAC、广播地址（FF:FF:FF:FF:FF:FF）或组播地址时，帧才会被提交给主机协议栈。其余帧在硬件层面被直接丢弃，CPU 根本感知不到它们的存在。

开启混杂模式（Promiscuous Mode）后，网卡将不再进行目的MAC过滤，所有到达网卡的帧都会被提交给驱动层。此时，抓包工具才能捕获到同一冲突域/广播域内其他主机的通信流量。

3.2.1 在 Linux 中开启混杂模式

# 查看网卡当前状态（flags 中包含 PROMISC 表示已开启）
ip link show eth0

# 开启混杂模式（需要 root 权限）
sudo ip link set eth0 promisc on

# 关闭混杂模式
sudo ip link set eth0 promisc off

# 使用 tcpdump 时自动开启混杂模式（-i 指定接口）
sudo tcpdump -i eth0 -nn

3.2.2 在 Windows 中开启混杂模式

Windows 下需要借助 Npcap（或旧版 WinPcap）驱动。安装 Wireshark 时勾选“安装 Npcap”即可。Wireshark 在开始抓包时会自动将所选网卡置于混杂模式，无需手动设置。若需命令行验证，可使用 windump（WinPcap 自带工具）：

# 以管理员身份运行命令提示符
windump -D          # 列出可用网卡
windump -i 1 -nn    # 在网卡1上抓包，自动开启混杂模式

3.2.3 混杂模式的适用场景与限制

3.3 抓包工具安装与配置：Wireshark + tcpdump 实战

本节以 Wireshark（图形化）和 tcpdump（命令行）两款最常用的工具为例，讲解安装与基础配置流程。

3.3.1 Wireshark 安装（Windows/macOS/Linux）

• Windows：从官网下载安装包，安装时务必勾选 Npcap 组件（用于底层抓包）。安装完成后需重启一次。
• macOS：brew install --cask wireshark，首次运行需授权安装 ChmodBPF 启动脚本。
• Ubuntu/Debian：sudo apt install wireshark，安装过程中选择“允许非超级用户抓包”时选“是”。
• CentOS/RHEL：sudo yum install wireshark wireshark-cli

3.3.2 tcpdump 安装与基础用法

# Ubuntu/Debian
sudo apt install tcpdump

# CentOS/RHEL
sudo yum install tcpdump

# 基础抓包：捕获 eth0 上 80 端口的 HTTP 流量，显示 IP 和端口
sudo tcpdump -i eth0 -nn port 80

# 保存到文件供 Wireshark 分析
sudo tcpdump -i eth0 -nn -w http.pcap port 80

# 读取 pcap 文件
tcpdump -nn -r http.pcap

3.3.3 Wireshark 关键配置项

1. 选择正确的网卡：启动界面会列出所有可用网卡，注意区分有线（Ethernet）、无线（Wi-Fi）和虚拟网卡（VMware/VirtualBox）。
2. 捕获过滤器（Capture Filter）：在开始抓包前设置，只捕获感兴趣的数据包，减少磁盘占用。语法基于 BPF（Berkeley Packet Filter）。
3. 显示过滤器（Display Filter）：抓包过程中/后使用，仅展示符合条件的包，语法更丰富，不丢包。
4. 着色规则：Wireshark 默认对 TCP 重传、乱序、HTTP 等使用不同颜色标识，可在“视图 → 着色规则”中自定义。

3.3.4 常用捕获过滤器示例

# 仅捕获本机与 192.168.1.100 的通信
host 192.168.1.100

# 捕获 HTTP 流量（TCP 80 端口）
tcp port 80

# 捕获 DNS 流量（UDP 53 端口）
udp port 53

# 捕获子网广播流量
net 192.168.1.0/24

# 排除 ARP 协议
not arp

3.4 实战案例：搭建最小抓包环境并验证混杂模式

下面通过一个完整的实验，验证混杂模式的实际效果。实验环境：一台 Windows 主机（安装 Wireshark + Npcap），一台 Linux 主机（安装 tcpdump），两者通过交换机连接。

3.4.1 实验拓扑与目标

• 主机A（Windows，IP: 192.168.1.10）
• 主机B（Linux，IP: 192.168.1.20）
• 主机C（Windows，IP: 192.168.1.30，用于产生“无关”流量）

目标：在主机A上开启混杂模式，尝试捕获主机B与主机C之间的通信流量。

3.4.2 操作步骤

1. 在主机A上启动 Wireshark，选择连接交换机的有线网卡，点击“捕获选项”，勾选“在所有接口上使用混杂模式”。
2. 在主机B上执行 ping 192.168.1.30，持续产生 ICMP 流量。
3. 观察主机A的 Wireshark 是否捕获到 ICMP 包。

3.4.3 预期结果与分析

3.5 常见误区与排障指南

3.5.1 误区一：开启混杂模式就能抓到所有流量

如前所述，交换网络中的单播流量不会到达非目的端口。正确做法是：先确认物理拓扑，再决定是否需要端口镜像或 ARP 欺骗（仅限实验）。

3.5.2 误区二：Wireshark 打不开 pcap 文件

可能原因：文件由 tcpdump 以 root 权限生成，当前用户无读取权限。解决：sudo chmod 644 file.pcap 或使用 sudo wireshark 打开。

3.5.3 误区三：抓包时 CPU 占用率过高

原因通常是捕获过滤器未设置，导致所有流量都被复制到用户态。解决：在开始抓包前设置捕获过滤器，只保留需要的协议或主机。

3.5.4 排障快速检查清单

• ✅ 网卡是否已开启混杂模式？（Linux 用 ip link show 查看 PROMISC 标志）
• ✅ 是否选择了正确的网卡？（无线网卡与有线网卡需区分）
• ✅ 是否设置了过窄的捕获过滤器？（如只抓 port 80，但实际流量走 8080）
• ✅ 是否在虚拟化环境中？虚拟交换机是否允许混杂模式？
• ✅ 是否使用了防火墙拦截了抓包接口的流量？
• ✅ 是否以管理员/root 权限运行抓包工具？