TCP数据包捕获的基本原理
在日常网络调试或应用开发中，经常需要查看设备之间传输的数据内容。比如你开发一个手机App，发现登录总是失败，但服务器日志又没报错，这时候如果能“看到”手机发出的请求数据，问题就容易定位了。TCP数据包捕获就是干这个的——它像一个网络“监听器”，把流经网卡的数据复制一份供我们分析。
实现这一点的核心是利用网卡的混杂模式（Promiscuous Mode），让网卡接收所有经过的数据帧，而不仅仅是发给本机的数据。操作系统配合抓包工具，就能把这些原始数据解析成可读的TCP会话记录。
常用工具：Wireshark 快速上手
最常用的抓包工具是 Wireshark，图形界面友好，适合新手。安装后打开，选择你要监听的网络接口，比如Wi-Fi或以太网，点击开始，马上就能看到实时流动的数据包。
界面上每一行代表一个数据包，包含时间、源地址、目标地址、协议类型和信息摘要。点击任意一行，下方会分层展示该包的详细结构：物理层、IP层、TCP层以及应用层数据。如果你想查某次HTTP请求的POST参数，直接找到对应的TCP流，右键“追踪流”->“TCP流”，就能看到完整的明文通信内容。
命令行抓包：tcpdump 实战示例
在服务器或没有图形界面的环境中，tcpdump 更加轻便高效。比如你想抓取访问特定IP的TCP流量，可以执行：
sudo tcpdump -i any host 192.168.1.100 and port 80 -w capture.pcap这条命令的意思是：监听所有接口，捕获与 192.168.1.100 在 80 端口的 TCP 通信，并保存为 capture.pcap 文件。之后可以用 Wireshark 打开这个文件做进一步分析。
如果只想看某个进程的通信，比如本地运行的 Node.js 服务（监听3000端口），可以缩小范围：
sudo tcpdump -i lo port 3000 -n -s 0 -w node_debug.pcap这里 -i lo 指定回环接口，-n 不解析主机名，-s 0 表示抓全包数据，避免截断 payload。
编程方式捕获：Python 示例
有时候需要自动化抓包，比如做性能测试时定时采集数据。Python 的 scapy 库可以轻松实现：
from scapy.all import sniff
def packet_callback(packet):
if packet.haslayer('TCP'):
print(packet.summary())
sniff(filter="tcp", prn=packet_callback, count=10)这段代码会捕获前10个TCP包，并打印简要信息。filter 参数支持BPF语法，可以写成 "tcp and dst port 443" 来只抓HTTPS出站流量。
捕获后的数据还能导出为pcap文件，供其他工具处理，或者直接在程序里分析连接建立时间、重传次数等指标。
注意权限与加密限制
抓包通常需要管理员权限，Linux/macOS 下用 sudo，Windows 需以管理员身份运行工具。另外，HTTPS 流量虽然能抓到，但内容是加密的，看不到明文。除非配置代理或使用 SSLKEYLOGFILE 配合浏览器导出密钥，否则只能分析连接行为，不能读取具体数据。
在家用路由器或公司内网抓包时也要注意合规性，未经授权监听他人流量可能涉及法律风险。建议仅用于调试自有设备和服务。