免费全平台抓包工具详解：从Wireshark到mitmproxy的选型指南

1. 抓包到底在抓什么：先搞懂这些再选工具

很多人问"免费的全平台网络抓包软件有哪些"，其实多半是刚接触抓包这个领域，还没有理解抓包这件事的本质。我做了这么多年网络调试和接口分析，可以很直接地说：抓包工具的选择，取决于你想抓什么流量、在什么环境抓、抓到之后拿来干什么。这三个问题答不上来，工具下载一箩筐也没用。

抓包，底层原理上就是在网卡或代理层面旁路监听经过的网络数据包。你打开抖音、刷网页、调接口、跑小程序，所有网络请求都会以数据包的形式经过网卡。抓包工具做的事情，就是把这些数据包截获下来，解析成你能看得懂的协议格式，呈现给开发者做分析。

这里要区分一个核心概念：网卡抓包和代理抓包是两条完全不同的技术路线。

网卡抓包，典型代表是Wireshark和tcpdump，它们基于libpcap/NPcap驱动，直接在网卡层面捕获数据包。这意味着你能看到所有流量——不只是HTTP/HTTPS，还有DNS查询、TCP握手、UDP广播、ARP请求，甚至是非IP协议的蓝牙报文。它的优点是全量、底层、系统级；缺点是HTTPS流量你只能看到一堆加密密文，除非你提前配置SSLKEYLOGFILE，否则看不到应用层内容。

代理抓包，典型代表是Fiddler、Charles、mitmproxy，它们跑在你和目标服务器之间，作为中间人转发请求和响应。客户端把请求发给本地代理，代理再转发给真实服务器；响应原路返回，代理同样能看。这种方式天然能解密HTTPS——因为代理用自己生成的根证书跟客户端建立了一条加密隧道，然后代理再另起一条加密隧道跟服务器通信，两边都能解密。缺点是只覆盖配置了代理的应用流量，系统底层协议、非代理流量完全看不到。

所以"哪个抓包工具好用"这个问题，本身就有点伪命题。正确的问题是：你现在的场景，更适合走哪条路线？我见过太多人装了个Wireshark然后抱怨抓不到HTTPS内容，也见过有人拿Charles去抓TCP握手包结果一无所获——都是路线选错了。

还有一点需要说清楚：抓包不等于网络攻击。抓包工具是网络工程师、移动开发、安全测试人员的日常工作台，就跟修车师傅的扳手一样。只要你是对自己设备、自己开发的软件、自己授权测试的系统做调试和分析，都属于合理的开发调试范畴。别因为某些敏感词的搜索热度，把正常的工具链看得神神秘秘。

这篇文章我就按实际使用场景，把目前免费、支持多平台的抓包工具完整梳理一遍，重点讲清楚每类工具在什么场景下该选谁、怎么上手、常见坑在哪。

2. 系统级抓包的双雄：Wireshark和tcpdump各管一摊

系统级抓包工具里，Wireshark和tcpdump是绕不开的两个名字。它俩其实是同一个生态的两端：tcpdump是命令行工具，负责在服务器或嵌入式环境里抓包；Wireshark是图形界面工具，负责把抓到的包做可视化分析和交互式过滤。很多老手的工作流是：先tcpdump抓包保存成pcap文件，再传到本地用Wireshark打开分析。

2.1 Wireshark：跨平台协议分析的王者

Wireshark支持Windows、macOS、Linux三大平台，免费开源，协议解析器数量超过3000种，基本你能想到的网络协议它都认识。这不是普通的"认识"，而是每个字段都能解析出来给你看。比如一个HTTP包，它能给你拆出请求行、请求头、请求体每一层的结构；一个TLS包，它能给你展示ClientHello里带了哪些加密套件、TLS版本是多少。

安装的时候有个细节很多人容易忽略：Windows版本会让你选择安装Npcap还是WinPcap驱动。Npcap是新一代的包捕获驱动，性能更好、兼容性更强，尤其是在Windows 10/11下跑WLAN抓包，Npcap是唯一靠谱的选择。WinPcap已经停止维护很多年了，装上纯粹是给自己找麻烦。macOS底下也要留意，Wireshark安装器会提示你安装一个系统扩展，不装的话抓包时会提示没有权限。

Wireshark的核心能力是它的显示过滤器。我见过不少新手把捕获过滤器和显示过滤器搞混。捕获过滤器是tcpdump语法、在开始抓包前设置、决定了哪些包会被记录到文件里；显示过滤器是Wireshark自己的语法、作用于已经抓到的包、只控制显示哪些包不显示哪些包。两者完全不是一回事。

实际调试接口的时候，我最常用的几个显示过滤器：

• http.request：只看HTTP请求，快速定位某个接口调用
• tcp.port == 443：只看某个端口的流量
• ip.src == 192.168.1.100：只看某个IP发出的包
• tls.handshake.type == 1：只看TLS握手中的ClientHello
• dns.qry.name contains "api"：筛选出包含特定域名的DNS查询

这些过滤器可以直接组合，比如http.request && ip.src == 192.168.1.100。Wireshark的定位是让你在茫茫数据包中快速找到想要的那一条，过滤语法不熟的话效率会非常低。

2.2 tcpdump：远程服务器抓包的利器

很多抓包场景不在你自己的电脑上，而在服务器上。服务器通常没有图形界面，这时候tcpdump就是首选。它极其轻量，几乎每个Linux发行版都自带，或者一条apt install tcpdump就能装上。

tcpdump的典型用法是这样的：

# 抓取eth0网卡上80端口的HTTP流量，保存到文件 tcpdump -i eth0 -w http.pcap port 80 # 抓取指定IP的通信，控制包数量 tcpdump -i eth0 -c 1000 host 10.0.0.5 # 抓取并实时打印HTTP请求行 tcpdump -i eth0 -A -s 0 'tcp port 80 and (((ip[2:2] - ((ip[0]&0xf)<<2)) - ((tcp[12]&0xf0)>>2)) != 0)'

其中-w参数把原始包写入pcap文件，-A参数让tcpdump以ASCII格式打印包内容。这里有个经验之谈：tcpdump命令最好在空闲时段测试确认语法无误再放到业务高峰期跑，不然一个错误的过滤器表达式整个抓包任务就废了。

tcpdump和Wireshark的理想配合是：tcpdump负责在服务器上抓包存文件，然后把pcap文件拉到本地，Wireshark负责深入分析。有了Wireshark，你甚至不需要在服务器上肉眼分析包内容，本地随便放大缩小、过滤、找字段，效率高得多。

2.3 系统级抓包的HTTPS解密配置

刚才说了，Wireshark看到HTTPS流量基本是一堆密文。但Wireshark有一个机制可以解密：设置环境变量SSLKEYLOGFILE指向一个日志文件，浏览器或支持该特性的应用会把TLS会话密钥写进这个文件，Wireshark读取后就能解密对应的HTTPS流量。

Chrome和Firefox都支持这个特性。启动的时候这么干：

export SSLKEYLOGFILE=/tmp/tls.keys google-chrome

然后在Wireshark里设置：编辑 -> 首选项 -> Protocols -> TLS，在"(Pre)-Master-Secret log filename"里填上C:\tmp\tls.keys（Windows下）或者/tmp/tls.keys（macOS/Linux），之后就能看到解密后的HTTPS请求了。这个办法对开发调试非常有用，因为Chrome所有流量它都能解，比代理方式更全量。

不过注意：这只是开发调试手段，不是破解工具。密钥是浏览器主动吐出来的，不是Wireshark暴力破解的，理解这一点就不会对这个功能产生错误期待。

3. 代理型抓包工具：Fiddler、Charles、mitmproxy怎么选

如果说系统级抓包解决的是"全量看流量"，那代理型抓包解决的是"精细调应用"。移动端开发、Web前端调试、接口联调，几乎都依赖这类工具。免费且跨平台的代理抓包工具里，最常用的就是Fiddler、Charles和mitmproxy三款。

3.1 Fiddler：功能密度最高的免费跨平台选手

很多人以为Fiddler是Windows专用工具，其实Fiddler Classic确实是Windows限定，但Fiddler已经有了基于Electron的全新版本，同样免费，支持Windows、macOS和Linux。新版本的界面完全重做，更像现代开发工具的审美，功能上也继承了Fiddler一贯的丰富性。

Fiddler最吸引我的功能是AutoResponder。你可以设置规则，让某个请求直接返回本地文件内容，而不经过真实服务器。这在前后端联调时是神器：后端接口挂了或没写好，前端可以先用AutoResponder模拟一个假响应，继续开发自己的页面逻辑，完全不阻塞。

另一个实用功能是Composer，类似一个可视化请求编辑器，可以直接构造GET/POST/PUT请求并发送，用来测试接口很方便，不用专门去翻Postman。它还能直接修改请求头、替换参数、设置Cookie，做接口调试绰绰有余。

Fiddler对HTTPS的解密逻辑很清晰：你安装并信任Fiddler的根证书后，它会拦截所有经过它的HTTPS流量，用根证书签发一个动态证书给客户端，然后自己与服务器建立真实的TLS连接。客户端看到的是Fiddler签发的证书，所以能解密；服务器看到的还是自己的正常证书，所以不受影响。

3.2 Charles：macOS生态口碑最好的收费工具（但免费版够用）

Charles主攻macOS，跨平台支持Windows和Linux，但不是开源免费软件，试用版每次只能跑30分钟，过期后重启才能继续。即便如此，它在移动开发圈子的口碑依然很好，因为它的界面和交互确实打磨得更精致。

Charles的Rewrite功能很强大，可以批量修改请求和响应，比如把响应里的某个字段值统一替换成另一个值、删除某些请求头、强制把HTTP重定向到HTTPS等。这种"全局规则式"的功能在多接口联调时比Fiddler更顺手。

Charles的Map Local功能也和Fiddler的AutoResponder类似，把远程资源映射到本地文件。前端调试时可以直接把线上JS/CSS映射到本地开发版本，改完刷新就能看到效果，非常适合静态资源调试。

如果你是macOS用户且预算有限，Charles的免费版其实已经能覆盖大部分调试需求，重启用一下就能绕过30分钟限制，虽然不是长久之计但应急足够。当然经济允许的话还是支持正版，这是对开发工具应有的尊重。

3.3 mitmproxy：命令行党的终极选择

mitmproxy是完全免费开源、跨平台的代理工具，它跟Fiddler/Charles最大的区别是没有传统图形界面。它有三种模式：mitmproxy（交互式命令行界面）、mitmdump（纯命令行，适合脚本处理）、mitmweb（网页版图形界面）。

对开发者来说，mitmproxy最值钱的地方是Python脚本扩展能力。你可以写一个Python脚本，对每个经过代理的请求做自定义处理：

from mitmproxy import http def request(flow: http.HTTPFlow) -> None: # 对某个域名的所有请求自动加一个请求头 if "example.com" in flow.request.pretty_host: flow.request.headers["X-Debug"] = "true"

这种能力在自动化测试、爬虫开发、流量录制回放场景里极其好用。你甚至可以用mitmproxy把真实的线上流量录制下来，再做二次回放，配合流量差异比对做回归测试。

mitmproxy在https解密和证书安装上和Fiddler流程一致：启动后访问http://mitm.it下载平台对应的证书安装信任即可。但它有一个更省事的特性：如果客户端设置了系统代理到localhost:8080，mitmproxy可以在捕获到流量时自动弹出一条提示，引导你安装证书，比Fiddler的弹窗更趁手。

3.4 三款代理工具的对比与选型建议

三款工具免费程度和平台支持对比如下：

选型就一个原则：纯手动调试选Fiddler或Charles，自动化处理选mitmproxy，重度脚本需求直接mitmdump。

4. 特定场景的抓包工具：小程序、USB、蓝牙和Burp Suite

热搜词里出现了一堆很具体的场景词，比如"小程序抓包工具""网课视频抓包工具""usb抓包工具""蓝牙抓包工具"。这些不是一类工具，是同一个抓包需求在不同场景下的应用方式。我逐一拆解。

4.1 小程序抓包：代理+证书信任的常规组合

小程序（微信小程序、支付宝小程序等）的流量本质是HTTPS，抓包思路就两个字：代理。把小程序的流量导向你本机的代理端口，让Fiddler/Charles/mitmproxy接管，安装信任根证书后就能看到明文内容。

但这里有一个很多人踩过的坑：微信小程序默认不信任系统根证书，特别是Android 7.0以上版本。原因很简单，Android 7.0以后系统默认应用只信任系统证书，不信任用户安装的证书。微信在Android上用的是应用内网络栈，直接忽略了你装在手机里的代理证书，导致HTTPS报文看着是密文。

解决方法有几个路子：

• iOS端：国行iOS系统相对宽松，正常安装描述文件证书就能解密；新版iOS如果遇到"证书不受信任"提示，去设置-通用-关于本机-证书信任设置里手动开启信任即可。
• Android端：优先在设置里开启"允许用户证书"，很多国产ROM的开发者选项里有这个开关；不行的话需要root后把代理证书拷入系统证书目录，或者用Frida这类Hook框架强制信任用户证书。
• PC端模拟器：在模拟器（比如MuMu、夜神）的配置里设置代理，然后再把证书刷成系统证书，比真机省事很多。

这里要特别提醒：抓小程序包并非什么黑科技，而是做小程序开发者日常排查接口问题的手段。别拿它去抓别人小程序的加密流量，那属于越权行为，技术无罪但边界要有。

4.2 USB抓包工具：选型锁定USBlyzer和Wireshark组合

USB流量抓包属于另一个层级。USB是主机和外设之间的总线通信，协议栈和TCP/IP完全不同，抓包方式也完全不一样。目前免费且能用的方案主要两个：

一是Windows下的USBlyzer。它是商业软件但提供免费版，免费版能看枚举信息和部分传输详情。它能帮你分析设备描述符、端点配置、HID报告、UVC控制请求等，是做USB外设驱动开发最常用的工具之一。

二是配合硬件做USB协议分析。Wireshark支持USBPcap这个捕获驱动，它可以抓取Windows上USB控制器层的流量。但门槛在于USBPcap对USB 3.0的抓取支持有限，而且抓出来的数据量极大，分析非常费神。对绝大多数人来说，USB抓包不是个高频需求，如果不是做驱动开发或硬件调试，随便找个免费工具看看枚举信息就够了，不必把整套链路都装上。

4.3 蓝牙抓包工具：硬件门槛是绕不过去的坎

蓝牙抓包和WiFi抓包一样，软件只是另一半，硬件抓包器才是大头。Wireshark能解析蓝牙HCI日志，但前提是你能拿到HCI数据，而HCI数据需要专门的蓝牙分析仪或支持HCI日志的蓝牙芯片。

免费路线可以这么做：在Android上开启蓝牙HCI抓取日志的功能（开发者选项里有"开启蓝牙HCI信息收集日志"），系统会把蓝牙包写到/sdcard/btsnoop_hci.log，用Wireshark直接打开这个文件就可以分析蓝牙交互过程。这个方案零成本，适合分析BLE连接、配对、GATT通信基础流程。

但要抓空中接口（即设备之间真实无线空中的数据包），普通软件干不了，需要硬件级别的蓝牙嗅探器，比如Ubertooth One这类开源硬件，或者商业化的Ellisys蓝牙分析仪。这类设备价格从几百到几万不等，不是发烧友一般用不到。

4.4 Burp Suite：Web安全测试的行业标准

热搜词里有"抓包工具burpsuite"，这说明确实有一部分人的抓包需求是Web安全测试方向。Burp Suite是PortSwigger出品的Web安全测试工具，社区版免费且跨平台（Java开发，Windows/macOS/Linux都能跑）。

Burp的内部其实是一个代理服务器（默认监听127.0.0.1:8080），配合它自己的浏览器插件使用效果最好。启动后，浏览器流量全部经过Burp代理，你可以在Proxy>HTTP history里看到所有经过的请求，改包、重放、注入测试非常方便。

Burp区别于Fiddler/Charles的核心优势是它的安全测试专项能力：

• Repeater：手动重放请求并修改任意参数，是SQL注入、越权测试的黄金工具
• Intruder：自动化爆破、参数遍历，配合字典可以做暴力枚举测试
• Decoder：URL编码、Base64、Hex等常用编码解码工具
• Comparer：对比两段请求/响应内容的差异

Burp的社区的版功能已经够用，但Intruder的速率限制很明显（免费版极慢），如果是专业渗透测试，建议还是考虑专业版。需要提醒的是：Burp的所有测试行为都应该建立在你有授权的前提下，不管是自家系统还是客户授权的系统，未授权扫描是违法行为，这点没有任何侥幸空间。

5. 抓包工具选型决策表：按需求直接对号入座

讲了这么多工具和原理，最终还是要落到一个干净利落的决策结论。我做了一张选型决策表，覆盖最常见的抓包场景，你可以直接按自己的需求对号入座。

这张表不需要背，关键是理解背后的逻辑：先确认流量路径，再选工具。服务器没有图形界面你总不能硬装Charles吧？要自动化处理几百个请求你也不可能用GUI手动点吧？

还有一个组合策略值得分享：不要只用一种工具，学会组合。比如我在做移动App性能排查时，先用Wireshark抓系统级流量确认网络层没问题，再用Charles抓应用层流量看接口耗时和返回数据，两个图层对照起来分析，往往能更快定位问题。这种"系统级+代理级"的打法，比死磕某个单一工具高效得多。

6. 实战中的常见误区与排查经验

最后这部分我整理一下自己实际使用中踩过的坑和一些真正管用的经验。这些内容一般工具文档里不会写，但实战中只要踩到一次，就能让你卡上大半天。

6.1 HTTPS证书信任的三种典型失败

证书问题大概是抓包过程中绕不过去的第一大坑。

失败一：证书装了但提示不受信任。很多小白在手机上下载安装代理证书后，直接以为完了。实际上不同系统的信任机制差异很大。Android 7.0以后用户证书在默认配置下不生效，iOS要手动去"证书信任设置"里开启完全信任。这个坑我至少看到过几十个人踩过。

失败二：代理设置了但流量不动。原因通常是应用不走系统代理。很多App出于安全考虑，业务流量直接通过自己的网络栈发出，不经过系统代理设置。解决办法是代理工具配合透明代理模式，或者用iptables把流量重定向到代理端口。

失败三：所有HTTPS流量都能显示但某个App打不开。这大概率是目标App做了证书固定（SSL Pinning），它比对服务器证书的指纹，发现不是你预期的那个证书就直接断连。这种场景下Charles/Fiddler默认就无能为力，解决办法是配合Frida绕过证书固定，但这已经属于安全研究范畴了。

6.2 Wireshark过滤器的效率差距

Wireshark最容易被低估的地方是过滤器。很多新手抓包抓到几百MB文件，靠肉眼翻，硬生生把自己搞成"人肉搜索引擎"。正确姿势是熟练掌握显示过滤语法，我列几个进阶用法：

# 查看两次握手之间的重传情况 tcp.analysis.retransmission # 查看某个响应时间过长的HTTP请求 http.time >= 1 && http.request # 查看TLS证书的详细信息 tls.handshake.certificate # 综合条件：某个IP在指定时间窗口内的所有TCP连接 ip.addr == 192.168.1.1 && tcp.flags.syn == 1

Wireshark还支持右键菜单快速添加过滤条件，这是效率提升最快的功能：在Packet Details面板选中某个字段，右键选择"Apply as Filter"，立刻就能生成对应过滤表达式。新手完全不需要死记语法，多用右键比背文档快得多。

6.3 抓包文件管理：别让你的硬盘被pcap撑爆

长时间在服务器上跑tcpdump，最容易忽略的是磁盘空间。高流量服务器的pcap文件增长速度惊人，我曾经因为忘记限制抓包大小，一个晚上抓出30GB的文件，差点把系统盘写满。

经验做法是：抓包前评估流量大小，用-c参数限制包数量，用-w配合cron定时清理，或者直接让tcpdump按文件大小和数量自动切割：

# 每100MB切割一次，最多保留10个文件 tcpdump -i eth0 -w cap.pcap -C 100 -W 10

这样磁盘占用可控，文件编号自动递增，分析时也好管理。还有一点，抓包完成后立刻用Gzip或zstd压缩pcap文件，压缩率通常能达到80%以上，能省下不少空间。pcap文件命名也建议带上时间和抓包意图，比如20250115_api_timeout.pcap，不然三个月后回来翻文件，你自己都不知道当时抓的是什么。

6.4 抓包思维：从"看报文"到"看链路"

抓包工具用久了你会发现，真正值钱的能力不是操作工具本身，而是通过数据包理解整个网络链路的能力。比如一次接口超时，你可能在Wireshark里看到TCP重传、看到HTTP延迟，但这些单个现象背后可能是网络波动、DNS解析慢、服务器处理慢、代理转发慢等不同原因。抓包只能告诉你事实，定位根因需要你结合协议知识、服务端日志、网络拓扑做综合分析。

所以我给新人的建议是：工具选型不用纠结，照着上面那张表选就行；真正需要投入时间的是理解HTTP/TCP/DNS这些协议的工作原理，配合工具反复练习。工具是术，协议和理解是道，道通了术自然就顺了。

最后分享一个我的实际体会：抓包工具用得越多，越会发现"看懂数据包"和"定位问题"之间还有很长一段距离。最有价值的工作流不是手里攥着多少款软件，而是清楚每个工具的优势边界，知道在什么环节该切哪一款。我现在日常基本固定在Wireshark加mitmproxy的组合上，偶尔切一下Burp Suite做安全测试，Fiddler和Charles作为备用常驻系统。工具不在于多，够用、用熟，就是最好的"大全"。