2、抓包基础：选择正确的网络接口、理解混杂模式、开始与停止抓包

好，咱们正式开始动手。上一章我们把 Wireshark 装好了，界面也认了个大概。这一章，咱们要干点真活——抓包。

你可能觉得，抓包不就是点一下那个绿色鲨鱼鳍按钮吗？嗯，没那么简单。我见过太多人，一上来就点开始，结果抓了一堆没用的数据，或者根本抓不到想要的包。说白了，抓包前的准备工作，决定了你后面分析的效率。

打开 Wireshark，你会看到一个列表，里面列着你电脑上所有的网络接口。Wi-Fi、以太网、蓝牙、虚拟网卡……一堆名字。选哪个？

核心原则：选你流量真正经过的那个接口。

举个例子。你在咖啡厅连了 Wi-Fi 上网，那流量走的就是 Wi-Fi 接口。如果你插了网线，那就选以太网。如果你在用 VPN，那可能得选虚拟网卡。

我个人习惯，在开始抓包前，先看一眼接口列表里的实时流量图。Wireshark 在每个接口旁边会画一条波浪线，线跳得越厉害，说明这个接口上的流量越多。你点一下接口，下面还能看到它的 IP 地址和 MAC 地址。确认一下，这个 IP 是不是你当前在用的。

小技巧： 如果你不确定该选哪个接口，可以先打开命令行，输入 ipconfig（Windows）或 ifconfig（Linux/macOS），看看哪个接口有流量，再回 Wireshark 里对应着选。

我在项目中遇到过一个问题：有次帮客户排查网络延迟，我明明选了以太网接口，却死活抓不到服务器的回包。折腾了半天，才发现客户机器上装了虚拟机，流量被虚拟网卡劫走了。所以，选接口时一定要确认清楚。

选好接口后，你会看到接口旁边有个选项叫「混杂模式」（Promiscuous Mode）。默认是勾上的。这个模式是干嘛的？

正常情况下，你的网卡只会接收发给自己的数据包。其他机器的包，网卡会直接扔掉。但混杂模式一开，网卡就变成了「八卦模式」——不管是不是发给你的，只要从网线上经过，它都收进来。

你想想看，这有什么用？

注意： 在有些操作系统上，开启混杂模式需要管理员权限。如果你发现抓不到包，先检查一下是不是权限不够。另外，在公共网络里开混杂模式，可能会涉及隐私问题，自己把握分寸。

我曾经在排查一个 ARP 欺骗攻击时，就是靠混杂模式抓到了伪造的 ARP 包。那个攻击者伪装成网关，不断发送假的 ARP 响应。如果不开混杂模式，我根本看不到这些包。

好，接口选好了，混杂模式也勾上了。现在可以开始抓了。

有几种方式：

开始抓包后，你会看到数据包像流水一样刷刷地往上滚。别慌，这是正常的。Wireshark 默认会抓所有经过的包，数量可能非常大。

停止抓包也很简单：

停止后，你抓到的包会保留在 Wireshark 里，你可以慢慢分析。

  核心操作流程：
  打开 Wireshark，查看接口列表。
确认目标接口的 IP 地址和实时流量。
勾选「混杂模式」（默认已勾选）。
双击接口开始抓包。
执行你要分析的操作（比如访问一个网站）。
点击红色按钮停止抓包。
保存抓包文件（可选）。

嗯，这里要注意一点：抓包时间不要太长。我见过有人一抓就是半小时，结果文件几个 G 大，打开都费劲。除非你有特殊需求，否则抓个几十秒到几分钟就够了。抓到你要的数据，立刻停。

在点那个绿色按钮之前，我建议你先做几件事：

说白了，抓包不是瞎抓，而是有目的的狩猎。准备工作做得好，后面分析就轻松。

下面这张图，帮你理清本章的核心逻辑：

问题	原因	解决方法
抓不到任何包	接口选错，或权限不足	用 `ipconfig` 确认接口，以管理员身份运行 Wireshark
只抓到自己的包	混杂模式未开启，或交换机隔离	检查混杂模式是否勾选；尝试接在 HUB 或端口镜像上
抓包文件太大	抓包时间过长，或未使用过滤	提前设置捕获过滤，或缩短抓包时间
Wireshark 卡死	内存不足，或流量过大	使用 `tshark` 命令行抓包，限制捕获大小

我曾经有一次，在客户现场抓包，Wireshark 直接卡死了。后来发现是那个网络里有广播风暴，每秒几万个包涌进来。从那以后，我养成了一个习惯：在流量大的环境里，先用 tshark -c 1000 抓 1000 个包试试水，确认没问题再正式抓。

  一句话总结： 选对接口、开混杂模式、明确目标、控制时长。这四点做到了，你的抓包就成功了一半。