抓包（数据包捕获）

抓包（英文 Packet Capture，又称数据包捕获、封包截取）是指利用软件或硬件工具，截取计算机网络中传输的数据包并加以记录和分析的技术。

概述

网络中的所有通信最终都以数据包的形式传输。抓包工具通过将网卡置于监听模式或在系统协议栈中设置捕获点，把流经的数据包原样复制下来，供人查看其中的协议头、载荷内容、时序等信息。这就像给网络通信拍下「快照」，让原本不可见的传输过程变得透明可读。

抓包广泛应用于网络故障排查、接口调试、协议学习与逆向分析、性能优化以及安全审计等场景。开发者常用它检查客户端与服务器之间的请求响应是否符合预期；运维人员用它定位丢包、延迟等问题；安全人员则用它分析可疑流量。需要注意的是，未经授权对他人网络进行抓包可能涉及侵犯隐私甚至违法，正当使用应限于自己的设备、经授权的测试环境或工作职责范围内。

常见工具与分类

• Wireshark：最流行的图形化抓包分析工具，支持上千种协议解析，跨平台且开源。
• tcpdump：Linux 和 Unix 系统上经典的命令行抓包工具，轻量灵活，适合服务器环境。
• Fiddler、Charles：偏重 HTTP/HTTPS 应用层抓包，以代理方式工作，常用于 Web 与 App 接口调试。
• 浏览器开发者工具：其「网络」面板可视为轻量级的应用层抓包，前端调试首选。
• mitmproxy：可编程的中间人代理工具，适合自动化分析 HTTPS 流量。

基本原理

底层抓包通常依赖操作系统提供的捕获接口（如 libpcap、WinPcap/Npcap），直接复制链路层数据帧；应用层抓包则多采用代理模式，让流量先经过抓包工具再转发。对于 HTTPS 等加密流量，代理类工具需要在设备上安装并信任其证书，通过「中间人」方式解密查看，这也是调试加密接口的常用做法。

常见问题

问：抓包能看到 HTTPS 的内容吗？答：直接抓取只能看到加密后的密文。若在自己的设备上安装抓包工具的证书并以代理方式拦截，则可以解密查看，这常用于开发调试；但对他人流量这样做属于攻击行为。

问：抓包违法吗？答：在自己的设备、局域网或获得授权的环境中抓包用于调试和学习是正当的；未经授权截取他人通信数据则可能触犯法律，务必注意边界。

问：新手学抓包从哪个工具入手？答：一般推荐先用 Wireshark 学习协议分析，做 Web 或 App 接口调试则可从 Charles、Fiddler 或浏览器开发者工具入手。