抓包工具基础：Wireshark核心功能、tcpdump命令行使用、抓包过滤器的配置
工欲善其事，必先利其器。做抓包分析这么多年，我见过太多人拿着工具却不知道怎么用。说白了，抓包工具就像医生的听诊器——你得知道听哪里、怎么听、听到异常声音意味着什么。这一章，咱们就把Wireshark和tcpdump这两个核心工具彻底搞明白。
Wireshark核心功能：不只是看包那么简单
Wireshark是图形化抓包工具里的王者。我第一次用它是在一个生产环境故障排查中，那时候还是个新手，打开界面直接懵了——满屏的包，完全不知道从哪下手。后来慢慢摸索，才发现它的核心功能其实就几个。
抓包引擎与接口选择
启动Wireshark后，第一步就是选网卡。这里有个坑——别选错了接口。我见过有人对着Loopback接口抓了半天，说怎么没流量。你想想看，Loopback是本地回环，除非你抓本机进程间通信，否则根本看不到网络包。
| 接口类型 | 适用场景 | 注意事项 |
|---|---|---|
| 物理网卡（eth0/en0） | 常规网络通信抓包 | 确认IP地址与目标一致 |
| Loopback（lo） | 本机进程间通信 | 大部分场景用不到 |
| Wi-Fi（wlan0） | 无线网络抓包 | 混杂模式可能受限 |
| 虚拟网卡（veth/tap） | 容器/虚拟机网络 | 需要桥接模式 |
数据包列表与详情双面板
Wireshark的界面设计其实很讲究。上面是包列表，下面是包详情。我个人习惯先看列表里的协议列——如果看到一堆TCP Retransmission，基本可以断定网络有问题了。
双击一个包，详情面板会展开各层协议头。嗯，这里有个小技巧：点中某个字段，底部状态栏会显示该字段的偏移量和长度。做协议分析时，这个功能特别有用。
着色规则与快速定位
Wireshark默认会给不同协议上色。TCP是浅紫，UDP是浅蓝，HTTP是绿。但默认规则不一定适合你的场景。我建议自己配一套：
- 红色：所有TCP异常（RST、Retransmission、Duplicate ACK）
- 黄色：慢响应（应用层响应时间 > 1秒）
- 绿色：正常业务流量
- 灰色：广播/组播包
配置方法：视图 → 着色规则，自己加规则就行。别嫌麻烦，配好了能省一半时间。
tcpdump命令行使用：服务器上的救命稻草
生产环境没有图形界面，Wireshark用不了怎么办？tcpdump就是你的救星。说实话，我90%的线上问题排查都是用tcpdump搞定的。
基础语法与常用参数
# 最基础用法：抓eth0网卡的所有包
tcpdump -i eth0
# 指定抓取数量，避免刷屏
tcpdump -i eth0 -c 100
# 不解析DNS，显示IP地址（加快速度）
tcpdump -i eth0 -n
# 保存到文件，方便后续分析
tcpdump -i eth0 -w capture.pcap
# 读取pcap文件
tcpdump -r capture.pcap这里有个参数组合我几乎每次都用：-i any -n -s 0。解释一下：
-i any：抓所有接口，省得切换-n：不解析DNS，避免DNS查询影响抓包性能-s 0：抓完整包，不截断
高级用法：组合过滤与实时输出
# 抓特定端口，并显示ASCII内容
tcpdump -i eth0 -n -A port 80
# 抓特定IP对之间的流量
tcpdump -i eth0 -n host 10.0.0.1 and host 10.0.0.2
# 抓TCP三次握手包（SYN、SYN-ACK、ACK）
tcpdump -i eth0 -n 'tcp[tcpflags] & (tcp-syn|tcp-ack) != 0'
# 实时统计包数量
tcpdump -i eth0 -n -c 1000 | wc -l你想想看，用-A参数直接看HTTP请求内容，是不是比在Wireshark里翻来翻去快多了？
抓包过滤器的配置：精准命中目标
不配置过滤器的抓包，就像在图书馆里找一本书却不看分类号——累死也找不到。过滤器分两种：抓包过滤器（BPF语法）和显示过滤器（Wireshark语法）。
BPF语法：抓包时就用
BPF（Berkeley Packet Filter）是tcpdump和Wireshark底层通用的过滤语法。它的核心逻辑是：在抓包阶段就丢弃不匹配的包，减少内存占用。
| BPF表达式 | 含义 | 示例 |
|---|---|---|
| host | 匹配IP地址 | host 192.168.1.1 |
| port | 匹配端口 | port 443 |
| net | 匹配网段 | net 10.0.0.0/8 |
| tcp/udp | 匹配协议 | tcp and port 80 |
| not/and/or | 逻辑运算 | not arp and port 53 |
# 实战组合：抓MySQL流量，排除本地监控
tcpdump -i eth0 -n 'tcp port 3306 and not host 127.0.0.1'
# 抓HTTP POST请求（包长度大于100字节）
tcpdump -i eth0 -n 'tcp port 80 and greater 100'Wireshark显示过滤器：抓完再筛
显示过滤器是在已经抓到的包里做二次筛选。它的语法更丰富，支持协议字段级过滤。
# 显示所有HTTP请求
http.request
# 显示TCP重传
tcp.analysis.retransmission
# 显示特定IP的DNS查询
dns.qry.name contains "example.com"
# 显示响应时间大于1秒的HTTP请求
http.time > 1知识体系总览
下面这张图把本章的核心知识点串起来了。你可以把它当作一个快速索引——遇到问题先看属于哪个环节，再去找对应的工具和语法。
实战建议：从入门到熟练
学工具最好的方式就是动手。我建议你按这个顺序练：
- 先玩Wireshark：抓自己浏览网页的流量，看看HTTP请求长什么样
- 再练tcpdump：在虚拟机里模拟一个Web服务，用tcpdump抓包然后导出到Wireshark分析
- 最后搞过滤器：给自己出题，比如“只抓某个IP的HTTPS流量”，看能不能用BPF写出来
工具这东西，用多了就熟了。别怕记不住参数，我到现在也经常man tcpdump。关键是理解它的设计思路——抓什么、怎么抓、抓完怎么筛。这三个问题想明白了，任何抓包工具在你手里都能发挥价值。