1. 抓包基础：什么是抓包、为什么需要抓包、抓包的原理
各位同学好，我是老张。做网络抓包这行十几年了，今天咱们聊聊最基础的东西——抓包到底是什么，为什么非学不可，以及它背后的原理。
说实话，我见过太多人一上来就装 Wireshark、点开始、看花花绿绿的包，然后一脸懵。嗯，这样学抓包，基本等于白学。你得先搞清楚它在干什么，才能用好它。
1.1 什么是抓包
抓包，说白了就是把网线上跑的数据“截”下来看一眼。
你想想看，网络通信就像两个人打电话。正常情况下，只有通话双方能听到内容。但抓包就是在电话线上搭一根线，把对话内容录下来。这就是抓包的本质——旁路监听。
具体到技术层面，抓包做的事情很简单：
- 把网卡设置成“听所有人说话”的模式
- 把经过网卡的每个数据包都复制一份
- 按时间顺序存下来，供你分析
我在项目中遇到过不少新人，以为抓包是“入侵”或者“破解”。其实不是。抓包只是观察，不修改数据，也不阻断通信。它就是个网络版的“行车记录仪”。
核心定义：抓包（Packet Capture）是指通过网络接口捕获经过网卡的所有数据帧，并将其保存为可分析格式的过程。它不改变数据内容，也不影响通信流程。
1.2 为什么需要抓包
这个问题我问过很多学员。有人说“为了学网络安全”，有人说“为了排查故障”。都对，但不够全。
我个人习惯把抓包的价值分成三个层次：
| 层次 | 场景 | 具体问题 |
|---|---|---|
| 故障排查 | 应用连不上、页面打不开 | 是 DNS 解析失败？TCP 握手超时？还是服务器返回了 5xx？ |
| 性能分析 | 接口响应慢、视频卡顿 | 是网络延迟大？丢包率高？还是应用层处理慢？ |
| 安全审计 | 怀疑被攻击、数据泄露 | 有没有异常连接？有没有明文传输敏感信息？ |
举个例子。有一次线上告警，说某个核心接口响应时间从 50ms 飙到了 5 秒。开发说是网络问题，网络说是应用问题。两边扯皮。我抓了 30 秒的包，一看——TCP 重传率高达 15%，而且重传的包都是同一个序列号。再查，是中间一台交换机端口协商成了半双工。你看，没有抓包，这种问题吵三天也吵不明白。
我的经验：遇到网络问题，先抓包再讨论。数据不会说谎，但人会。抓包能让你从“我觉得”变成“我看到”。
1.3 抓包的原理
这部分是重点。你得理解网卡怎么工作，数据怎么被“截”下来的。
1.3.1 网卡的两种模式
网卡有两种工作模式，这个必须记住：
- 普通模式（Normal Mode）：只收目标 MAC 地址是自己的包，其他的直接扔掉。这叫“事不关己高高挂起”。
- 混杂模式（Promiscuous Mode）：所有经过的包都收，不管是不是发给自己的。抓包必须开这个模式。
为什么会这样？因为网卡硬件层面有个过滤机制。每个数据帧到达网卡时，网卡会检查目标 MAC 地址。不是自己的，直接丢弃，CPU 根本不知道有这回事。开了混杂模式，这个过滤就关了，所有帧都往上送。
注意：在交换网络环境下，即使开了混杂模式，也只能收到发给自己和广播的包。要捕获其他主机的流量，需要配合 ARP 欺骗、端口镜像（Port Mirroring）或网络分流器（TAP）。这个后面章节会细讲。
1.3.2 数据包捕获机制
数据从网线到抓包软件，中间经过了好几层。我画了张图，你看一眼就明白了：
这张图里有个关键点：抓包不是在应用层做的，而是在内核层。具体来说，Linux 下通过 PF_PACKET 套接字（或者更高效的 AF_PACKET + PACKET_MMAP）直接从驱动层复制数据帧。Windows 下则是通过 WinPcap/Npcap 的驱动来实现。
我建议你记住这个流程：
- 网卡收到数据帧，产生硬件中断
- 驱动处理中断，把帧复制到内核缓冲区
- 抓包模块（如 BPF）在协议栈处理前，复制一份帧到抓包缓冲区
- 原始帧继续走协议栈，正常交付给应用
- 抓包软件从缓冲区读取副本，展示给用户
重要概念：BPF（Berkeley Packet Filter）是抓包的核心机制。它允许用户设置过滤表达式（如 tcp port 80），在内核层就过滤掉不关心的包，避免大量无关数据拷贝到用户态。效率极高。
1.3.3 抓包工具的工作原理对比
| 工具 | 底层机制 | 适用平台 | 特点 |
|---|---|---|---|
| tcpdump | libpcap + BPF | Linux / macOS | 命令行，轻量，适合服务器端 |
| Wireshark | libpcap / WinPcap + 图形界面 | 全平台 | 功能最全，协议解析最强 |
| tshark | libpcap + 命令行版 Wireshark | 全平台 | 适合脚本化、自动化抓包 |
| tcpdump + 管道 | libpcap + 标准输出 | Linux | 可配合其他工具实时分析 |
我个人习惯是：服务器上用 tcpdump，本地分析用 Wireshark。tcpdump 抓完生成 pcap 文件，scp 到本地用 Wireshark 打开。这样既不影响线上性能，又能享受图形界面的便利。
一个小技巧：线上抓包时，记得用 -s 0 参数抓完整包（默认只抓前 96 字节）。我曾经因为没加这个参数，排查一个 HTTP 请求体被截断的问题，浪费了半天时间。嗯，吃一堑长一智。
1.4 抓包能抓到什么
这个问题看似简单，但很多人搞不清楚。抓包能抓到的，是经过网卡的所有数据帧。具体包括：
- 以太网帧头（源 MAC、目标 MAC、类型）
- IP 包头（源 IP、目标 IP、协议类型）
- TCP/UDP 头（源端口、目标端口、序列号等）
- 应用层数据（HTTP 请求体、DNS 查询内容等）
但要注意，抓包抓不到这些：
- 加密后的数据内容（如 HTTPS 的 body，除非你有私钥）
- 交换机内部转发表、路由器路由表
- 其他网段的流量（除非做了端口镜像）
避坑指南：我曾经以为抓包能抓到所有流量，结果在云环境里抓了半天，发现只抓到了自己虚拟机的包。后来才意识到，云厂商的虚拟交换机默认不会把其他租户的流量镜像给你。要抓云上流量，得用 VPC 流量镜像功能。
1.5 本章小结
抓包不是什么神秘技术。它就是把网卡调到“听所有人说话”的模式，然后在内核层把数据复制一份出来。你不需要成为内核专家也能用好它，但理解这个原理，能帮你少走很多弯路。
记住三个核心点：
- 抓包是被动监听，不修改数据
- 网卡必须开混杂模式
- 数据在内核层被复制，不是应用层