9、网络数据包捕获与分析全攻略

网络数据包捕获与分析全攻略

在网络测试和故障排查过程中，了解网络中传输的内容至关重要。本文将深入探讨网络数据包捕获和分析的相关技术，包括加密相关知识、数据包捕获原理、常用工具（如 tcpdump 和 Wireshark）的使用方法以及如何利用过滤功能提高分析效率。

加密与数据包捕获概述

在网络通信中，虽然我们可能不太关心传输内容是否加密，但我们非常在意通信对象的身份以及数据在传输过程中是否被篡改。因此，有时我们会选择不进行加密，以避免加密带来的额外开销，同时仍能享受所选密码套件其他部分的优势。

然而，加密领域的斗争从未停止。目前，研究人员正在不断寻找现有加密算法和协议中的漏洞。随着更强的密钥和新算法的出现，我们在测试输出中看到的密码套件也会有所不同。

在进行网络测试时，我们通常需要查看网络中传输的内容。为此，我们需要使用能够捕获数据包的程序。实际上，我们捕获的是帧。网络栈的每一层对包含该层的数据束都有不同的术语。在网络栈中，随着数据向下传递，会不断添加头部信息，最后添加的是第 2 层头部，该层的协议数据单元（PDU）就是帧。到了第 3 层，我们称之为数据包；第 4 层根据使用的协议不同，可能是数据报或段。

过去，捕获数据包成本较高，因为需要一个能够进入混杂模式的特殊网络接口。默认情况下，网络接口会检查 MAC 地址。如果传入帧的地址与网络接口的 MAC 地址匹配，或者是广播地址，该帧会被转发到操作系统。而在混杂模式下，所有帧都会被转发到操作系统，无论其是否针对该特定系统。现代网络接口通常不仅支持全双工和自动协商等功能，还支持混杂模式，这意味着每个系统都可以充当协议分析器。

使用 tcpdump 进行数据包捕获