抓包环境搭建：工欲善其事，必先利其器

做网络协议分析，说白了就是跟数据包打交道。你连抓包工具都不会配，那后面的粘包拆包分析根本无从谈起。这一章，我带你把三样东西装好、配好、跑起来——Wireshark、tcpdump、还有Python的socket环境。

我个人习惯是：桌面分析用Wireshark，远程或服务器上用tcpdump，自动化测试用Python。三件套缺一不可。

2.1 Wireshark安装与配置

Wireshark这东西，我用了十几年了。从当年叫Ethereal的时候就开始用，到现在它依然是网络分析的第一选择。你想想看，一个开源工具能活这么久，说明它确实能打。

2.1.1 安装要点

• Windows：去官网下载，安装时记得勾选"Install WinPcap/Npcap"。我踩过坑——不装这个，抓不到包。
• macOS：brew install --cask wireshark，装完要授权权限给ChmodBPF。
• Linux：sudo apt install wireshark，装完记得把用户加到wireshark组，不然每次都要sudo。

2.1.2 核心配置

装完别急着抓包，先做两件事：

1. 设置捕获接口：Capture → Options，选对网卡。无线网卡通常叫"Wi-Fi"或"wlan0"，有线叫"eth0"或"en0"。
2. 配置显示过滤器：这是Wireshark的灵魂。我常用的几个过滤器：

过滤器表达式	作用
tcp.port == 8080	只看8080端口的TCP流量
ip.addr == 192.168.1.100	只看某个IP的包
tcp contains "GET"	过滤包含特定内容的TCP包
tcp.analysis.flags	快速定位TCP异常（重传、乱序等）

2.2 tcpdump基础用法

Wireshark虽好，但服务器上没图形界面怎么办？这时候tcpdump就是你的救命稻草。我记得有一次线上排查问题，客户那边只有命令行，全靠tcpdump把包抓下来，再传回本地用Wireshark分析。

2.2.1 常用命令

# 抓取eth0网卡的所有包
sudo tcpdump -i eth0

# 抓取指定端口，保存到文件
sudo tcpdump -i eth0 port 8080 -w capture.pcap

# 抓取指定IP的包，显示详细内容
sudo tcpdump -i eth0 host 192.168.1.1 -X

# 限制抓包数量，避免文件过大
sudo tcpdump -i eth0 -c 1000 -w sample.pcap

2.2.2 关键参数说明

参数	含义	我的建议
-i	指定网卡	不指定默认抓第一个，容易抓错
-w	写入文件	一定要用.pcap后缀，Wireshark才能打开
-c	抓包数量	生产环境必加，防止磁盘写爆
-X	十六进制+ASCII显示	看应用层数据时很有用
-s	抓取每个包的长度	默认65535，够用；设小了会截断数据

2.3 Python socket编程环境准备

光会抓包还不够，你得能自己造数据包来验证。Python的socket库就是干这个的。说白了，它就是操作系统网络接口的封装，让你能在应用层直接收发数据。

2.3.1 环境检查

Python标准库自带socket，不需要额外安装。但你要确认版本：

python3 --version
# 建议 Python 3.8 以上

# 测试socket是否可用
python3 -c "import socket; print(socket.gethostname())"

2.3.2 一个最简单的TCP服务端/客户端

这是我写过的第一个人工智能...哦不，第一个socket程序。十几年了，结构基本没变过。

服务端（server.py）

import socket

server = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
server.bind(('0.0.0.0', 8888))
server.listen(5)
print('服务端已启动，等待连接...')

conn, addr = server.accept()
print(f'客户端连接：{addr}')

data = conn.recv(1024)
print(f'收到数据：{data}')

conn.send(b'Hello from server')
conn.close()

客户端（client.py）

import socket

client = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
client.connect(('127.0.0.1', 8888))

client.send(b'Hello from client')
data = client.recv(1024)
print(f'收到回复：{data}')

client.close()

2.3.3 粘包分析专用工具函数

后面章节我们会频繁用到这两个函数，先准备好：

import socket
import struct

def send_msg(sock: socket.socket, msg: bytes):
    """发送消息，前面加上4字节的长度头"""
    msg_len = struct.pack('!I', len(msg))
    sock.sendall(msg_len + msg)

def recv_msg(sock: socket.socket) -> bytes:
    """接收消息，先读4字节长度头，再读正文"""
    raw_len = recv_all(sock, 4)
    if not raw_len:
        return None
    msg_len = struct.unpack('!I', raw_len)[0]
    return recv_all(sock, msg_len)

def recv_all(sock: socket.socket, n: int) -> bytes:
    """保证接收n个字节，处理TCP可能分批到达的情况"""
    data = b''
    while len(data) < n:
        chunk = sock.recv(n - len(data))
        if not chunk:
            return None
        data += chunk
    return data

2.4 环境验证：三件套联调

工具都装好了，我们来做个快速验证：

1. 启动Wireshark，选择loopback接口开始抓包
2. 在过滤器输入 tcp.port == 8888
3. 运行上面的server.py和client.py
4. 观察Wireshark中出现的SYN、SYN-ACK、ACK三次握手
5. 再看数据包里的应用层内容，是不是"Hello from client"和"Hello from server"

如果你能看到这些，恭喜你——环境搭建完成。后面我们就可以正式开始分析粘包拆包了。