想进网络安全这一行的人，十有八九都听过这么一句话：不知道流量里发生了什么，就别谈什么渗透测试。我在带新人入门的时候，最常被问到的就是"Kali里工具这么多，到底先学哪个"。我的答案一直没变：先把抓包这件事搞明白，用Wireshark把HTTP、DNS、TCP这些基础协议看透。这篇就从web渗透入门的视角，把Wireshark抓包和常用协议分析这件事从头到尾捋一遍，零基础也能跟着操作，但前提是你得在授权环境或者自己的靶场里练，千万别拿别人的站点做实验。
这不是一篇教你去打点什么的教程，而是一篇帮你建立流量分析思维的实战笔记。你以后做渗透测试、做防御、做应急响应，甚至写自动化脚本，全都要依赖对协议的理解。Wireshark就是一个让你把"看不见的网络通信"变成"看得见的一行行数据"的工具。掌握了它，你才能真的看懂SQL注入为什么会在URL里留下特征、XSS为什么会在请求体里出现一段脚本、爆破登录为什么会产生大量的POST记录。这些都是后面深入学习的基础，也是面试时别人考察你的高频点。
1. 抓包这件事到底在学什么：为什么Wireshark是入门首选
1.1 抓包在web渗透学习中的定位
很多人一上来就想着用扫描器扫一遍目标，然后直接找漏洞打进去。这个思路错得很离谱。扫描器会告诉你结果，但不会告诉你为什么。比如一个SQL注入点，为什么参数里加单引号就会报错？因为后端把参数拼进了SQL语句，这种判断依据全在HTTP请求和响应报文里。你如果不会看报文，就只能靠工具盲猜，一旦工具不给力，整个人就废了。
Web渗透的整个过程，从信息收集、漏洞探测到漏洞利用，每一步都在和协议打交道。你发送一个HTTP请求，服务器返回一个HTTP响应，这个一来一回就是最基本的协议交互。如果你能熟练使用Wireshark抓包，就等于在浏览器和服务器之间装了一个"拆迁摄像头"，所有进出的数据都逃不过你的眼睛。你不需要猜，直接看证据。
还有一种更实际的情况：你在做某个授权测试项目时，怀疑某个请求被WAF拦截了，但浏览器页面没有任何提示。这时候打开Wireshark，看到响应码是403，再查看响应体里的特征关键字，立马就能确认。这种排查能力，不是靠背工具命令能获得的，靠的是对协议细节的熟悉程度。
1.2 Wireshark、Burp Suite和tcpdump到底该选谁
很多新手会困惑：既然有Burp Suite这种抓包改包工具，为什么还要专门学Wireshark？这里面的分工完全不同。
Burp Suite是"代理"，它工作在应用层，专门拦截HTTP/HTTPS流量，方便你修改请求再转发。你可以把它理解成一个"翻译官"，只关心浏览器和服务器之间的业务逻辑。Wireshark是"嗅探器"，它工作在网卡层面，抓的是所有经过网卡的数据包，除了HTTP，还有TCP握手、DNS查询、TLS加密握手等等。你把它理解成"监控摄像头"，什么东西经过它都记录。
tcpdump是命令行版的抓包工具，适合在Linux服务器上无界面操作。它和Wireshark可以搭配使用：在远程服务器上用tcpdump抓包保存为pcap文件，把文件下载到本地，再用Wireshark做可视化分析。Kali里自带了tcpdump和Wireshark，两个都得会一点。
我给新人的建议是：先用Wireshark把协议看明白，再回头用Burp做Web测试。因为Burp把协议细节屏蔽了，你看不到TCP三次握手的过程，也看不到DNS解析的耗时，这些恰恰是排查"网站为什么慢"这一类问题的关键线索。
1.3 必须反复强调的合规前提：授权边界
每次讲抓包，我都要把合规问题放在前面。不是我不信任读者，而是这个行业里翻车的人太多了。Wireshark抓包本身是合法工具，拿来分析自己的电脑、自己的服务器、实验室靶机，完全没问题。但如果你把它用在了未经授权的网络里，哪怕只是抓了几分钟包，都已经越过了法律红线。
Kali里很多工具都是双刃剑，用得好是安全测试利器，用不好就是犯罪工具。学渗透测试的正确姿势是在本地搭一个靶场，比如平台上架设的DVWA、WebGoat这类演练环境，或者用虚拟机搭一个模拟目标站点，在里面随便折腾。我自己的习惯是永远保留一个独立的实验网络，所有测试都在这个网络里完成，不让任何流量跑到真实外网。
此外，如果以后你真的要从事安全服务，记住一个铁律：任何测试行为必须有书面授权，授权范围、时间、目标IP都要写清楚。没拿到授权前，连端口扫描都不要做。
2. Wireshark快速上手：从安装到第一次抓到HTTP请求
2.1 安装和界面认识：别被一堆列表吓到
安装Wireshark没什么难度，Windows上下载安装包一路下一步就行，Linux发行版用包管理器安装。Kali里已经预装好了，直接在终端输入wireshark回车就能启动，如果你用普通用户启动，可能需要先把自己加到wireshark用户组里，命令是：
sudo usermod -aG wireshark 你的用户名加完组记得重新登录一下，要不然每次启动都要sudo。
打开之后界面分四块：最上面是工具栏和过滤器输入框，中间是数据包列表，右下方是数据包详情树，最下面是十六进制原始数据。第一次看会眼花缭乱，但不用怕，你只需要记住几个核心概念：
- 数据包列表区：每一行就是一个包，包含编号、时间、源IP、目的IP、协议、长度、Info信息。
- 详情树区：点中某个包，这里会按协议分层展开，从物理层到应用层，一层层拆开看。
- 十六进制区：完全原始的数据内容，和详情树一一对应，搞协议逆向时经常要看这里。
抓包之前要先选择一个网卡。如果电脑连着Wi-Fi，就选无线网卡；插着网线就选有线网卡；打开虚拟机做实验，就选虚拟网卡。选错了网卡就会什么都抓不到，这是新手第一个坑。
选好网卡后，双击它或者点左上角的"开始捕获"按钮，就开始抓包了。为了让第一次效果直观，我建议你打开Wireshark之后，再打开浏览器访问一个普通的HTTP网站（注意，是HTTP明文站点，很多大站已经全站HTTPS了）。如果找不到HTTP站点，你可以在自己本地搭一个最简单的服务，或者直接访问你路由器管理页的HTTP地址，一般家用路由器是http://192.168.1.1，这个没加密。访问完之后回到Wireshark点红色方块停止，列表里就会有一堆包。
2.2 捕获过滤器和显示过滤器：两种过滤器别混用
Wireshark里有两套过滤系统，新手最容易混淆。
捕获过滤器是在抓包之前设置的，作用是只抓符合条件的包，不满足条件的包直接丢弃。它的语法比较老，用的是libpcap格式。比如只抓来自192.168.1.100的包，可以写：
host 192.168.1.100显示过滤器是在已经抓到的数据里做筛选，它会隐藏不符合条件的包，但包还在内存里。显示过滤器语法非常强大，也是日常用得最多的。比如只显示HTTP协议：
http显示源IP是192.168.1.100的包：
ip.src == 192.168.1.100显示端口是8080的包：
tcp.port == 8080两个过滤器不要混用，你一旦在"捕获过滤器"那个输入框里写显示语法，比如写http，它会报错，因为捕获过滤器不认这套语法。我的习惯是：抓包时很少用捕获过滤器，宁愿多抓一点，然后用显示过滤器慢慢筛。因为捕获过滤是"事前丢弃"，万一你漏掉了需要的包，还得重新抓一遍。而显示过滤是在完整数据里筛，随时可以改条件，不会丢失信息。
2.3 追踪TCP流：把明文HTTP请求还原成完整对话
抓完包后，列表里可能有一大堆TCP包，怎么快速找到自己想要的那条HTTP交互？最直接的方式是右键点击一个HTTP包，选择"追踪流" -> "TCP流"。这时Wireshark会打开一个新窗口，把客户端和服务器之间的完整对话拼在一起显示，左边是客户端发的，右边是服务器回的，对应的就是一次完整的HTTP请求响应。
我拿本地靶场举例，假设我用浏览器访问了一个dvwa登录页面并提交了一个账号密码，抓包后在追踪流里就能清楚看到：
GET /dvwa/login.php HTTP/1.1 Host: 192.168.1.10 User-Agent: Mozilla/5.0 ... Accept: text/html,application/xhtml+xml... Cookie: PHPSESSID=abcdef123456 HTTP/1.1 200 OK Date: ... Content-Type: text/html;charset=utf-8这个视图把HTTP报文的结构暴露得明明白白。你只需要按一下Ctrl+Alt+Shift+T，就能快速遍历所有TCP流，逐个翻看哪条流里有敏感信息。这在分析恶意流量时特别有用，比如判断某个挂马页面到底加载了什么外部资源、某个登录接口是否明文传输了密码。
第一次抓到完整请求后，建议花点时间把请求头、响应头里的每个字段都查一遍是什么意思。Host决定哪个站点处理，User-Agent告诉服务器用什么浏览器，Cookie是会话凭证，Content-Type说明请求体的数据类型。这些字段以后全是你的分析线索。
3. 常用协议分析：HTTP、DNS、TCP和TLS到底在看什么
3.1 HTTP协议分析：请求行、请求头、请求体的结构
Web渗透的重头戏就是HTTP协议，Wireshark里过滤http后，你会看到一些以HTTP开头的包。点开任意一个，详情树里会分成几大块：HTTP请求行、HTTP请求头、HTTP消息体。
一个典型的HTTP请求报文长这样：
POST /login.php HTTP/1.1 Host: 192.168.1.20 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) Content-Type: application/x-www-form-urlencoded Content-Length: 29 Cookie: PHPSESSID=8a3f9c2b1d username=admin&password=123456第一行是请求行，包含请求方法（GET/POST/PUT等）、请求目标路径、协议版本。第二行开始是请求头，最后空一行是请求体。GET请求一般没有请求体，参数会拼在URL的query string里，比如：
GET /search.php?keyword=hello&page=1 HTTP/1.1在渗透视角下，你要关心的点有几个：
- 请求方法：POST和GET在参数位置上有本质区别，测试注入点时如果只改了GET参数却发现不生效，不妨把方法换成POST再试。
- Content-Type：标注application/x-www-form-urlencoded的表单，和application/json的参数格式完全不同，有些工具默认按表单格式发包，遇到JSON接口就会失败。
- Content-Length：请求体的字节数。如果某个请求被中间设备篡改了内容但没有改Content-Length，就会导致请求解析异常，这个特征可以用来检测篡改。
响应报文的结构类似，第一行是状态行，比如HTTP/1.1 200 OK，然后是响应头，最后是响应体。常见的状态码含义必须烂熟于心：200成功、301/302重定向、403禁止访问、404不存在、500服务器内部错误。很多时候漏洞能不能利用，一眼看状态码就知道了。
3.2 DNS协议分析：一次域名解析是怎么完成的
访问一个网站，第一步永远是DNS解析。你输入一个域名，浏览器不知道它对应哪台服务器，要先问DNS服务器"这个域名解析到什么IP"。Wireshark里过滤dns，就能看到这个过程。
一次普通解析通常有两条记录：一条是查询请求，一条是响应。请求包里的Queries部分显示你查询的域名和类型（A记录就是IPv4地址，AAAA记录就是IPv6地址）。响应包里的Answers部分显示解析出来的IP。如果响应里有多条Answers，可能是负载均衡或者CDN的节点，不同地区会解析到不同IP。
DNS泄露是信息收集中经常提到的词。假如你在测试一个目标站点，通过Wireshark看到内部DNS服务器返回了内网域名解析记录（比如mail.内部域、gitlab.内部域这类名字），说明目标网络里可能有一些你和互联网之间看不到的内部资产。但注意，这种探测必须在授权范围内，不能拿这个当借口去扫描别人的内网。
另外，DNS响应包里的响应时间也很有价值。如果你发现某个域名解析特别慢，通常有两种原因：一是递归解析链路长，二是本地DNS缓存失效。排查Web性能问题时，可以先用Wireshark看DNS耗时，别一上来就怀疑服务器带宽。
3.3 TCP三次握手：连接是怎么建立的
HTTP是基于TCP的，所以在看HTTP包之前，列表里往往先出现几个TCP包。最经典的三次握手，对应四个包：客户端发SYN，服务器回SYN+ACK，客户端再回ACK。在Wireshark里过滤tcp，你能看到每条连接的建立过程。
用Info列来认包更直观：
[SYN]：第一个包，客户端说"我想建立连接"，里面有个初始序列号。[SYN, ACK]：第二个包，服务器说"好的，同时我也想跟你建立连接"。[ACK]：第三个包，客户端确认，"收到，连接建立"。
序列号Seq和确认号Ack是TCP可靠传输的核心，它保证数据不丢不乱。你可以把它想象成发快递，每个包裹上都贴着编号，收件人收到一个就回执一个编号。
在渗透测试里，TCP握手分析用得最多的是端口扫描。你发送一个SYN包到某个端口，如果收到SYN+ACK说明端口开放，收到RST说明端口关闭。Wireshark抓包时，你可以亲眼看到扫描工具发包的过程和响应结果。不过用Wireshark看这个过程只是辅助理解，实际扫描还是用nmap这类工具更高效。
还有一种情况：如果抓包时发现大量只发SYN但没有后续ACK的连接，说明可能有未经授权的扫描行为在探测你。作为防御方，这种特征也是入侵检测系统关注的重点。
3.4 HTTPS与TLS握手：既然加密了，Wireshark还能看到什么
很多人以为HTTPS流量就是黑的，Wireshark什么都看不到，其实不是。抓包依然能看到TLS握手的过程，以及加密之前的ClientHello和加密后的ServerHello里的部分明文信息。
过滤tls或者ssl，点开一个ClientHello包，你会看到：
- 支持的TLS版本
- 客户端支持的加密套件列表（Cipher Suites）
- SNI字段，也就是客户端要访问的域名
SNI（Server Name Indication，服务器名称指示）在TLS握手阶段是明文传输的，所以即使HTTPS流量加密了，通流量特征分析依然能判断出访问了哪个域名。这一点对渗透测试和流量监控都非常有用。
再看ServerHello，服务器会从客户端列表里选一个加密套件，并返回证书。展开证书部分，能看到证书的签发机构、有效期、公钥信息。我在实际排查中遇到过"证书被打补丁替换"的情况，用户访问一个钓鱼页面时，浏览器没有给任何警告，因为证书校验被劫持了。从Wireshark的TLS详情里对比证书指纹，能很快发现问题。
那如果实在想看HTTPS里的明文内容怎么办？标准做法是配置环境变量SSLKEYLOGFILE，让浏览器导出会话密钥，然后导入Wireshark的"编辑" -> "首选项" -> "TLS" -> "（Pre）-Master-Secret log filename"里。这个方法只能解密你自己本机浏览器产生的流量，而且只对未启用PFS（前向保密）的会话有效。大部分现代HTTPS流量用了ECDHE密钥交换，光有私钥还不够，必须拿到会话密钥才能解密。所以不要听网上那些"用私钥解密HTTPS"的简单说法，那是不完整的。
4. 实战场景：从抓包看Web攻击特征
4.1 SQL注入尝试在HTTP报文里长什么样
SQL注入的本质是把SQL代码拼到参数里，让后端数据库执行。这个行为一定会体现在HTTP请求参数中。我搭靶场测试时，往用户名框里输入一个单引号，抓包看到的请求是这样的：
GET /dvwa/vulnerabilities/sqli/?id=1'&Submit=Submit HTTP/1.1参数id的值变成了1'，后端把单引号拼进了SQL语句，导致语法错误。如果继续构造1' AND '1'='1，参数就变成了：
id=1' AND '1'='1这类包含单引号、SELECT、UNION、注释符--的请求，就是典型的SQL注入尝试特征。Wireshark里过滤http.request，逐个翻请求URI，很快能找出哪些请求在探测数据库。但这里你要明白：Wireshark只能帮你看到流量，判断注入是否成功还是要结合响应状态码和页面内容。
响应报文同样有线索。比如SQL语句报错时，错误信息可能直接出现在响应体里，数据库类型、表名路径有时候都会暴露出来。用Wireshark追踪流，看到响应里出现You have an error in your SQL syntax这类内容，就能确认后端是MySQL。这种信息收集在授权测试里就是传递"为什么这个点是注入点"的关键证据。
4.2 XSS攻击payload出现在哪一层
跨站脚本攻击（XSS）是把JavaScript代码输入到页面里执行。从流量角度，payload可能出现在请求参数里，也可能出现在Referer头、User-Agent里，甚至Cookie里。我举个最常见的例子：在留言板输入框里填一个<script>alert(1)</script>，提交后抓包：
POST /xss/comment.php HTTP/1.1 Content-Type: application/x-www-form-urlencoded comment=%3Cscript%3Ealert(1)%3C%2Fscript%3E%3C是<的URL编码，%3E是>的编码。Wireshark的详情树里如果右键选择"在显示过滤器中使用"或者直接看原始解码，能更清楚地看到真正的字符。所以在分析流量时，记得观察有没有URL编码的特征，不能看到一串百分比就以为是乱码。
还有一类存储型XSS，payload会先被服务器保存到数据库，再通过其他正常请求返回给访问者。这种情况下，Wireshark抓到的攻击请求表面看起来可能完全正常，只有响应字节里藏着一小段脚本。判断时要同时关注好友请求和响应，别漏了关键的一环。防御方做WAF规则时，主要就是针对请求参数里的<script>、javascript:、onerror=这些关键字做拦截，这也是流量的特征来源。
4.3 暴力破解登录的流量特征
登录爆破是Web渗透里最常见的验证方式，但它也是最容易被流量分析发现的。当你用密码字典一批批尝试登录时，Wireshark里会看到同一时间窗口内出现大量同目标IP的POST请求，请求路径都是登录接口，而且每个请求的Content-Length基本一致，只有POST参数里password的值在变化。
比如抓包看到这样的连续记录：
POST /login.php HTTP/1.1 ... username=admin&password=123456 POST /login.php HTTP/1.1 ... username=admin&password=admin123 POST /login.php HTTP/1.1 ... username=admin&password=password快速翻看这几条TCP流，发现User-Agent完全一样，来源IP也相同，时间间隔很短，基本可以确定是有人在跑字典。
防御侧的思路也很直接：对同一IP的登录失败次数做限速，强制验证码，或者观察有没有短时间内的连续请求。而在渗透测试视角下，做暴力破解时最好控制速度，加上随机延时，并且轮换User-Agent，不然很容易被目标的安全设备拦截。当然，这种操作只对授权的测试目标做。
4.4 如何快速追踪一条可疑请求
实战中抓到几万甚至几十万个包，不可能一个一个翻。我的习惯是先用显示过滤器缩小范围。如果你怀疑某个IP在探测你，可以这样过滤：
ip.addr == 192.168.1.100 && http这样只显示来自或者发往这个IP的HTTP包。如果怀疑是数据库报错，过滤响应码：
http.response.code == 500如果怀疑有异常的长URL，可以对URL字段排序或者用统计功能。Wireshark菜单栏的"统计" -> "协议分级"能列出不同协议的比例，如果某个TCP端口出现大量未知协议的数据，基本可以判定有非标准通信行为。
还有一种很实用的方式：右键某条可疑HTTP请求，选择"追踪流" -> "HTTP流"，Wireshark会把请求和响应合并展示，比TCP流更加语义化。逐条看下来，很快能筛选出攻击特征最明显的流量。学会快速定位，比记住所有过滤语法更重要，因为场景千变万化，但思路是通用的。
5. 常见问题排查与经验技巧
5.1 抓不到包？先从网卡和混杂模式查起
新手最常问的问题就是：Wireshark明明在跑，为什么列表里只有几条广播包，我浏览器的流量完全看不见？
这种问题八成是网卡选错了。如果电脑同时插着网线和Wi-Fi，你选了无线网卡，但有线流量当然不会被抓到，反过来也一样。还有一个常见问题是虚拟机里抓包，要是虚拟机网卡模式是NAT，宿主机上的Wireshark根本看不到虚拟机流量，必须进入虚拟机里面抓，或者在虚拟交换机上做端口镜像。更简单的办法是设置网络模式为桥接，让它和宿主机在同一网段。
另外，抓包前要确认是否开启了"混杂模式"。混杂模式会让网卡接收所有经过它的数据包，而不只是发给自己MAC地址的包。Wireshark在Windows上默认开启，但部分Linux环境需要手动设置。打开方式是在"捕获" -> "选项" -> 对应网卡的"混杂模式"勾选上。如果没有这个选项，你只能抓到单播给自己的流量，那就等于白抓。
如果你是在无线路由器环境下抓另一台设备的包，光靠黑客模式我想说那个难度极高。绝大多数普通网卡不支持监听模式，就算抓到也大概率是加密的。所以别想着在自己电脑上抓别人手机的全流量，那是做无线安全研究时要解决的事情。
5.2 显示过滤器最坑的语法错误
显示过滤器的语法很灵活，但也很容易踩坑。最常见的是忘记加双引号导致字符串匹配失败。比如你想过滤某个HTTP请求路径包含login的报文，正确的写法是：
http.request.uri contains "login"如果你写成http.request.uri contains login，Wireshark会提示语法错误，因为login被当成一个非法的字段名称。另一个坑是把"等于"和"包含"混了。http.request.uri == "/index.php"是精确匹配，必须一模一样，多一个参数都不行。而http.request.uri contains "index.php"是子串匹配，更实用。我刚入门时经常犯这个错，提交的过滤器死活没结果，后来才明白是把这两个操作符搞混了。
字段名称也一样，很多字段在详情树里是中文注释，但实际过滤语法的字段名是英文的。比如TCP标志位的过滤，你看到的是FIN、SYN、ACK，但过滤语法要写tcp.flags.syn == 1。不熟悉的时候，直接在详情树里右键某行，选择"作为过滤器应用"或者"准备过滤器"，Wireshark会自动帮你生成正确的语法。这个方法对新手极其友好，我也是这么熟起来的。
5.3 解密HTTPS流量的正确姿势
想看到HTTPS明文的朋友很多，但这事要讲清楚。解密只适用于你本机能获取到会话密钥的环境。最常用的是Firefox或者Chrome配置SSLKEYLOGFILE环境变量，把密钥日志写到一个文件里，然后在Wireshark的TLS首选项里指定这个文件。
以Linux为例，可以在启动浏览器的终端里先执行：
export SSLKEYLOGFILE=/home/你的用户名/sslkey.log然后启动浏览器，正常访问HTTPS网站。抓包结束后，在Wireshark里打开"编辑" -> "首选项" -> "Protocols" -> "TLS"，在"(Pre)-Master-Secret log filename"这里填上刚才的路径，应用后那些HTTPS包就会自动解密，追踪HTTP流就能看到明文了。
有一点必须说清楚：这个办法解密不了网上的所有HTTPS流量，只能解密你有密钥的那些会话。现代TLS默认采用前向保密，服务器根本不保存完整的会话密钥，你现在抓了包，几天后就算拿到私钥也解不开。所以很多老教程里"用服务器私钥解密HTTPS"的方法，在现实中基本是失效的。这部分知识属于协议细节，理解它有助于你以后设计加密通信方案，而不是用来偷窥别人。
5.4 我自己的抓包学习路线建议
最后分享一下我实际带新人走的路线，你可以直接照着学。
第一步，先抓自己浏览器的流量，把HTTP请求响应结构看明白，搞清楚Host、Cookie、Referer这些头字段的意思。第二步，用Wireshark分析一个登录过程，从DNS解析开始到TCP三次握手，再到HTTP POST请求，完整走一遍流程，手动标注每个包属于哪个阶段。第三步，在自己搭的靶场里做一次SQL注入和XSS，抓包保存下来，对比正常请求和攻击请求的差异。第四步，学习用tcpdump在Linux环境抓包，配合Wireshark分析，模拟真实服务器排障场景。
大概练两周左右，你就能达到"看到一个陌生Web应用时，不用开Burp，单用Wireshark就能判断出它的请求结构"的程度。这个能力非常值钱，因为任何Web漏洞，最终都要落回到HTTP报文里的某个特征。你越早掌握流量分析，后面学习SQL注入、XSS、CSRF、SSRF这些漏洞类型时就越轻松。我就是这么过来的，一开始也觉得协议枯燥，但当你亲手抓到第一个完整的SQL注入请求时，那种"原来如此"的通透感，是真的会上瘾。
