kali抓包

凌晨两点，抓包我盯着Wireshark里那排密密麻麻的抓包十六进制数据，咖啡杯沿已经凉透了。抓包抓包这事儿，抓包说白了就是抓包把网络里飘来飘去的数据包截下来，像在高速公路上设个检查站，抓包每辆卡车都得停下来看看货箱里装了什么。抓包Kali里装着一整套干这活的抓包工具，但大多数人第一次打开Wireshark，抓包面对满屏乱跳的抓包协议列表，第一反应都是抓包——这他娘的是什么鬼？

先别急着点那个蓝色的鲨鱼鳍图标。你得明白，抓包抓包不是抓包按个开始键就完事儿的。我见过太多新手，抓包抓了五分钟就兴奋地喊"我抓到密码了"，抓包结果仔细一看，那是自己电脑后台更新的流量。真正的抓包，第一步是选对网卡。Kali虚拟机里默认的NAT模式，你抓到的是宿主机的影子，不是真实网络里的鱼。换成桥接模式，或者干脆用物理机装Kali，才能看见局域网里真正的呼吸。

有一次我在咖啡店做测试，公共Wi-Fi下抓到一个妹子手机上的HTTP请求，明文里躺着她的QQ号和密码。那瞬间我后背发凉——不是因为这技术多牛，而是因为整个抓包过程只花了四十秒，点了几下鼠标，连一条命令都没敲。Wireshark的过滤器就是个筛子，你写`http.request`，它就只给你看HTTP请求；你写`tcp.port==443`，它就只留SSL握手那几下。但真正的老手，反而喜欢用`follow tcp stream`，把整个对话像翻聊天记录一样摊开来看。

Kali里还有个藏在命令行底下的宝贝，叫tcpdump。它没有图形界面，黑黢黢的窗口里敲一行`sudo tcpdump -i eth0 -w capture.pcap`，数据就默默往文件里流。Wireshark适合事后分析，tcpdump适合现场潜伏。我习惯两个配合用——tcpdump先录着，Wireshark再打开慢慢解剖。就像拍照先按快门，回家再修图。

抓包最迷人的地方在于，你永远不知道下一个包里藏着什么。有次帮朋友排查网络卡顿，抓了半天全是正常的TCP重传，正想放弃，突然瞥见一个DNS查询请求，域名是个俄语字符集。顺着挖下去，发现他电脑里装了个挖矿木马，每五分钟就向境外服务器汇报一次。那包长得跟其他包一模一样，只是TTL值差了那么几毫秒。这种细节，不盯着看根本发现不了。

不过我得泼盆冷水。现在全网都在加密，HTTPS占了九成流量，你抓到的包基本都是密文，像一摞上了锁的日记本。想解开得先拿到密钥，那又是另一套功夫。所以别指望抓包能直接看到别人的微信聊天记录——那玩意儿端到端加密，就算你抓了包，看到的也是一堆无意义的乱码。真正的抓包高手，玩的是元数据：谁在什么时候连了哪个服务器，数据包多大，间隔多久，这些信息本身就够拼出一幅完整的社交图谱。

写到最后想起个事儿。有次在技术论坛上，有人炫耀自己用Kali抓到了隔壁寝室的选课密码。底下回帖一片叫好，只有一个人冷静地说："你抓包的时候，自己的MAC地址也留在交换机里了。" 网络这东西，从来都是双向透明。你盯着别人的数据流，自己的行踪也在被记录。所以玩抓包，先学会怎么隐藏自己——改MAC、用VPN、开代理，这些基本功比任何花哨的过滤器都重要。毕竟，检查站里的警察，也得先保证自己不被歹徒盯上。