一、抓包基础：什么是网络抓包、为什么需要抓包、抓包的原理与常见工具介绍

1.1 什么是网络抓包？

网络抓包，说白了就是「偷听」网络上的对话。

两台设备在网络上通信，数据会切成一个个小包，在网线、Wi-Fi 里跑来跑去。抓包就是在某个中间点，把这些包原封不动地复制一份，然后打开看看里面到底写了什么。

我经常跟团队里的新人说：抓包就是网络的「行车记录仪」。它不修改任何数据，只是忠实地记录下每一帧、每一个字节。

你想想看，HTTP 请求发了什么 header？DNS 查询到底返回了哪个 IP？TCP 握手有没有丢包？这些肉眼看不见的东西，抓包都能给你「现原形」。

1.2 为什么需要抓包？

我做了十几年网络，可以负责任地告诉你：没有抓包解决不了的问题，如果有，那就是抓的包还不够多。

具体来说，抓包能帮我们干这几件事：

• 排查网络故障——网页打不开？接口超时？抓个包看看是 DNS 解析失败、TCP 握手被拒，还是服务器返回了 500。
• 分析协议行为——你写的 TCP 程序有没有正确挥手？TLS 握手走了哪个版本？抓包一看便知。
• 安全审计与取证——有没有恶意流量？有没有数据泄露？抓包记录就是铁证。
• 性能调优——哪个环节耗时最长？是网络延迟还是应用处理慢？抓包里的时间戳会告诉你真相。
• 逆向与调试——第三方 API 文档不全？抓包看它到底发了什么格式的数据。

1.3 抓包的原理

抓包听起来很神奇，其实原理并不复杂。核心就三步：

1. 网卡设置为混杂模式——正常情况下，网卡只收目标 MAC 是自己的包。混杂模式让网卡「来者不拒」，所有经过的包都收进来。
2. BPF（伯克利包过滤器）——抓包工具通过 BPF 规则，只保留你感兴趣的包。比如只抓 TCP 端口 80 的流量，或者只抓某个 IP 的包。
3. 数据包拷贝到用户空间——内核把原始数据包复制一份，通过 libpcap 或 AF_PACKET 等接口交给抓包工具。

嗯，这里要注意：抓包本身不改变网络行为。它只是「看一眼」，不会去改包的内容。但如果你用抓包工具同时做发包（比如 Scapy），那就是另一回事了。

我曾经踩过一个坑：在服务器上用 tcpdump 抓包，结果磁盘写满了，导致服务挂了。所以抓包一定要控制文件大小和轮转策略。

下面这张图，是我画的一个抓包原理流程，你看完应该就清楚了：

1.4 常见抓包工具

工具不在多，在于用对地方。我这些年用下来，真正能打的就这几个：

举个例子，在服务器上抓 80 端口的包，保存到文件：

# 抓取 eth0 网卡上 80 端口的流量，保存为 capture.pcap
tcpdump -i eth0 -w capture.pcap 'tcp port 80'

# 只抓 100 个包，适合快速验证
tcpdump -i eth0 -c 100 -w sample.pcap

# 实时查看，不保存文件
tcpdump -i eth0 -nn 'tcp port 443'

你想想看，一条命令就能把网络通信「录」下来，多方便。

1.5 抓包的局限性

说了这么多好处，也得泼盆冷水。抓包不是万能的：

• 加密流量——HTTPS、TLS 的 payload 是加密的，抓包只能看到握手过程和加密后的密文，看不到明文内容。除非你有私钥或者用中间人代理。
• 高速网络——10Gbps 以上的链路，软件抓包很容易丢包。需要硬件辅助或专门的抓包设备。
• 交换机隔离——在交换网络中，默认只能抓到本机流量。要抓其他设备的包，需要端口镜像或分光器。
• 自身干扰——抓包工具本身会占用 CPU 和内存，极端情况下可能影响业务。