很多人装了Kali，抓包打开Wireshark一看满屏滚动的工具数据包，直接就懵了。抓包其实抓包这事儿，工具核心就一句话：网卡在混杂模式下能收到经过它的抓包所有帧，不管目的工具地是不是你。Kali默认就带了这个能力，抓包问题在于你知不知道该抓什么、工具怎么过滤。抓包

先聊Wireshark。工具这玩意儿是抓包图形界面里最顺手的，但新手最容易犯的工具错是不设捕获过滤器就开始抓。你在宿舍连个WiFi，抓包几秒钟就能攒出上万条包，工具里面大部分是抓包ARP广播、mDNS查询、TCP重传这些噪音。我的习惯是上来先敲tcp port 80 or tcp port 443，或者干脆只抓某个IP：host 192.168.1.105。捕获过滤器用的是BPF语法，跟后面显示过滤器那套完全不一样，别搞混了。显示过滤器更灵活，比如http.request.method == "POST"，能直接把你想要的登录请求拎出来。

有一次帮朋友看一个网站登录问题，他用Chrome开发者工具看请求，说响应正常但就是登不进去。我让他把流量导到Kali上，Wireshark一开，发现登录POST请求发出去之后，服务器回了个302跳转，但跳转的Location头里带了个Set-Cookie，那个Cookie的Domain字段写的是.example.com，而他访问的是www.example.com。浏览器觉得域名不匹配，直接把Cookie扔了。这种问题开发者工具里看响应体根本看不出来，得在Wireshark里展开HTTP层，一行一行看头部字段。

再说tcpdump。命令行工具，没图形界面，但胜在轻量、能写脚本。我经常在SSH会话里直接跑：tcpdump -i eth0 -nn -s0 -w capture.pcap。几个参数得记住：-i指定网卡，-nn别解析主机名和端口名，-s0抓完整包不截断，-w写文件。抓完拖回本地用Wireshark分析，比在服务器上装图形界面省事多了。有回排查一个内网服务间歇性超时，tcpdump跑了半小时，抓到一个规律：每次超时前都有个TCP RST包，源端口是服务端的，但序列号对不上。后来发现是中间有个防火墙设备在会话超时后发了伪造的RST，把连接掐了。这种事儿不抓包根本查不出来。

还有个工具叫ettercap，严格说它不只是抓包，是中间人攻击套件。但它的抓包模式有个好处：能直接在交换网络里做ARP欺骗，把流量引到你机器上再转发。实验室环境里测过，对同网段的目标做ARP毒化，然后开ettercap的抓包，目标的所有HTTP流量都能看到。当然现在HTTPS普及了，抓到也是密文，但SNI字段还是明文的，能看出他在访问哪个域名。这招在渗透测试里做信息收集挺有用。

抓包这事儿，工具本身不难，难的是你脑子里得清楚网络协议怎么跑的。TCP三次握手、四次挥手，HTTP请求响应格式，DNS查询过程，这些基础不扎实，抓到了包也看不懂。我见过有人抓了一堆包，问我为什么他的POST请求里没有密码字段——因为他抓的是HTTPS，整个HTTP层都是加密的，Wireshark里显示的就是一堆Application Data。想看明文？要么在客户端配SSLKEYLOGFILE，要么中间人解密，没有捷径。

最后提一嘴mitmproxy。它不是传统意义上的抓包工具，是个中间人代理，但配合Kali用起来很顺手。启动之后把浏览器代理指过去，所有HTTP/HTTPS流量都能在控制台里看，还能改请求、重放。写渗透测试报告的时候，用它截几个请求响应图，比Wireshark的十六进制视图直观多了。不过它只能抓HTTP层的，底层协议分析还得靠Wireshark。

工具就这些，选哪个看场景。快速看个HTTP请求，Wireshark过滤一下最快；服务器上没图形界面，tcpdump写文件拖回来；要改包重放，mitmproxy更合适。别指望一个工具通吃，也别指望抓了包就能秒懂——协议基础才是底子。