抓包分析软件

为什么你的网卡总在“自言自语”

上周同事抱怨家里智能音箱半夜自动播放音乐。我让他用 Wireshark 抓了五分钟包，分析过滤 udp.port == 1900，软件发现每隔三秒就有一个 SSDP 组播包从路由器发往 239.255.255.250。抓包音箱收到就唤醒。分析问题不在音箱，软件在路由器某个插件——它一直在发“我在这儿”的抓包广播。抓包软件把这种看不见的分析对话变成了逐字稿。

抓包分析软件的软件核心就一件事：把网卡收发的原始二进制帧翻译成人能读的协议树。Wireshark 是抓包绕不开的名字，但 tcpdump 在服务器上更常见。分析我见过运维在终端里敲 tcpdump -i eth0 -nn -A port 3306，软件看着 MySQL 明文查询一行行滚出来，抓包那种直接感比图形界面更锋利。分析

协议树不是软件装饰品

打开 Wireshark 抓一个 HTTPS 请求，你会看到 Ethernet II → IP → TCP → TLS → HTTP。每层都能展开。点开 TLS 记录，能看到 handshake 里的 SNI 字段——也就是你访问的域名。哪怕流量是加密的，SNI 依然裸奔。这就是为什么有些防火墙能靠 SNI 做域名过滤。

但协议解析偶尔会撒谎。有次我抓到一个奇怪的 TCP 重传，Wireshark 标了“TCP Previous segment not captured”。同事一口咬定是丢包。我看了下 tcp.analysis.retransmission 过滤器，发现其实是抓包机自己 CPU 过载，漏掉了原始包。抓包软件不是上帝，它只是旁观者，旁观者也会眨眼。

过滤器是分水岭

新手抓完包对着几千行发呆。老手第一件事是敲 ip.addr == 192.168.1.100 && tcp.port == 443。Wireshark 有两种过滤器：抓包过滤（BPF 语法）和显示过滤。BPF 在驱动层就丢包，省内存；显示过滤只是隐藏，包还在。有次排查视频卡顿，我直接用 tcpdump -i any -w cap.pcap 'host 10.0.0.5 and port 1935'，只存 RTMP 流量，两小时才 30MB。换成全量抓，硬盘直接爆。

显示过滤里有个隐藏技巧：右键任意字段 → “Apply as Filter” → “Selected”。比手敲快十倍。我见过有人用 frame contains "password" 在 HTTP 流量里捞明文密码，一抓一个准。但 HTTPS 下这招没用，只能看到 TLS 的加密应用数据。

别只盯着 Wireshark

Windows 上有个老家伙叫 Microsoft Network Monitor，现在叫 Message Analyzer，解析微软自家协议（比如 SMB、Kerberos）比 Wireshark 还细。Linux 下 ss 和 nethogs 不算抓包，但能快速看谁在占带宽。macOS 自带的 tcpdump 其实够用，配合 rvictl 还能抓 iPhone 的流量——不用越狱。

有次排查 DNS 污染，我用 dig +trace 和 tcpdump 同时跑。tcpdump 显示发往 8.8.8.8 的查询收到了一个来自本地网关的伪造响应，TTL 只有 3。Wireshark 的 dns.flags.rcode != 0 过滤器直接标红。抓包软件把“网络慢”这种模糊感受变成了具体 IP 和端口号。

最后说个反直觉的

抓包软件本身会改变流量。你在本机抓包，lo 接口上的包和真实网卡上的包路径不同。用交换机端口镜像抓包，镜像口可能丢包。最可靠的位置是串接一个网络分光器，但贵。所以每次分析前先问自己：我看到的包，和线上真实发生的，差多少？

Wireshark 的统计功能里有个“Conversations”，按流量排序。我常用来找异常——比如一个内网 IP 突然和外部 443 端口保持 200 个并发连接，点开看 TLS 指纹，大概率是挖矿木马。抓包不是目的，从字节流里读出故事才是。