一、抓包基础：什么是抓包？为什么需要抓包？抓包工具Wireshark的安装与界面介绍
1.1 什么是抓包？说白了就是“偷听”网络对话
抓包，专业术语叫“数据包捕获”。
你想想看，网络通信就像两个人打电话。数据在网线里跑来跑去，我们看不见也摸不着。抓包就是在这条“电话线”上接一个分机，把通话内容录下来。
我刚开始接触网络时，总觉得网络是个黑盒子。数据发出去，对方收没收到？中间有没有丢包？完全不知道。直到学会了抓包，才真正“看见”了网络。
抓包工具会捕获网卡上流经的所有数据包。它会记录每个包的源IP、目标IP、端口号、协议类型，甚至包里的具体内容。说白了，就是把网络通信的每一个细节都记录下来，供我们分析。
核心要点：抓包不是破坏网络，而是“监听”网络。它不会修改数据，只是复制一份给你看。
1.2 为什么需要抓包？我踩过的坑告诉你
我在项目里遇到过太多需要抓包的场景了。给你列几个最常见的：
- 应用连不上服务器——是DNS解析失败？还是TCP握手没完成？抓包一看便知
- 网页加载慢——是服务器响应慢？还是网络丢包重传？抓包能定位到毫秒级
- 安全排查——怀疑有病毒在往外发数据？抓包看看它在跟谁通信
- 协议调试——自己写的程序发数据格式不对？抓包对比一下标准协议
我曾经处理过一个线上故障：用户反馈App登录特别慢，后端查日志一切正常。我抓包一看，发现TCP三次握手之后，客户端发了个SYN包，服务器回了SYN+ACK，但客户端迟迟不发送最后的ACK。嗯，问题出在客户端代码里——它把socket设置成了非阻塞模式，但没处理好连接状态。
我的建议：遇到网络问题，先别急着改代码。抓个包看看，往往能省下半天排查时间。
1.3 抓包工具Wireshark的安装
Wireshark是目前最主流的抓包工具，没有之一。它免费、开源、跨平台，支持Windows、macOS、Linux。
Windows安装步骤
- 去官网下载安装包（wireshark.org）
- 双击运行，一路Next
- 安装过程中会提示安装Npcap（抓包驱动），一定要勾选
- 安装完成后重启电脑
macOS安装步骤
- 用Homebrew安装：
brew install wireshark - 或者去官网下载.dmg安装包
- 安装后需要授权网络权限（系统偏好设置 → 安全性与隐私）
Linux安装步骤
# Ubuntu/Debian
sudo apt-get install wireshark
# CentOS/RHEL
sudo yum install wireshark
# 安装后需要将当前用户加入wireshark组
sudo usermod -a -G wireshark $USER
# 然后注销重新登录注意：Linux下非root用户抓包需要特殊权限。我建议用上面那种方式加组，别直接用root跑Wireshark，不安全。
1.4 Wireshark界面介绍——别被密密麻麻的窗口吓到
第一次打开Wireshark，你可能会觉得眼花缭乱。别怕，我来带你认认路。
Wireshark的界面主要分为三大区域：
| 区域 | 位置 | 作用 |
|---|---|---|
| 数据包列表区 | 上方 | 显示所有捕获到的数据包，一行一个 |
| 协议树区 | 左下方 | 选中某个包后，这里展示各层协议的详细信息 |
| 原始数据区 | 右下方 | 显示数据包的原始字节，十六进制和ASCII对照 |
我个人习惯先把界面调成深色主题（Edit → Preferences → Appearance → Theme），长时间盯着看眼睛没那么累。
数据包列表区详解
每一行代表一个数据包，默认显示这些列：
- No.——包的序号，从1开始递增
- Time——捕获时间，默认是相对时间（从开始抓包算起）
- Source——源IP地址
- Destination——目标IP地址
- Protocol——协议类型（TCP、UDP、HTTP、DNS等）
- Length——包的长度（字节）
- Info——包的简要信息，比如TCP的端口号、标志位
你想想看，有了这些信息，网络通信的整个过程就一目了然了。比如你看TCP三次握手：
- 第1个包：客户端发SYN（Seq=0）
- 第2个包：服务器回SYN+ACK（Seq=0, Ack=1）
- 第3个包：客户端发ACK（Seq=1, Ack=1）
三次握手完成，连接建立。如果只有两个包，那说明握手没完成——问题就出在这里。
协议树区——层层剥开数据包
选中一个包后，协议树区会展示这个包从物理层到应用层的完整结构。比如一个HTTP请求包：
- Frame——物理层信息（帧大小、时间戳）
- Ethernet II——数据链路层（源MAC、目标MAC）
- Internet Protocol Version 4——网络层（源IP、目标IP、TTL）
- Transmission Control Protocol——传输层（源端口、目标端口、序列号、确认号）
- Hypertext Transfer Protocol——应用层（请求方法、URI、头部字段）
每一层都可以展开，看到更详细的信息。比如TCP层展开后，你能看到窗口大小、校验和、标志位（SYN、ACK、FIN等）。
原始数据区——最底层的二进制
这个区域显示的是数据包的原始字节。左边是十六进制，右边是对应的ASCII字符。说实话，日常分析很少用到这个区域，除非你在做底层协议开发或者分析加密数据。
小技巧：在数据包列表区，不同协议会用不同颜色标记。比如TCP是淡紫色，UDP是淡蓝色，HTTP是绿色。你可以自定义颜色规则（View → Coloring Rules）。
1.5 本章知识体系
下面这张图帮你梳理本章的核心逻辑：
这张图把本章的三个核心知识点串起来了。抓包不是目的，目的是通过“看见”网络通信的每一个细节，来理解网络、定位问题。
一句话总结：抓包就是给网络通信装一个“行车记录仪”。出了事故，回放一下就知道谁撞了谁。
公众号:蓝海资料掘金营，微信deep3321