CentOS 上的抓包与解码思路概览
在 CentOS 环境中，抓包通常由 tcpdump 完成，解码可在命令行用 tcpdump -A/-X 直接查看，或将抓包文件交给 Wireshark/tshark 进行分层解析与统计报表。抓包一般需 root 权限，并可将网卡置于混杂模式以监听经过接口的所有流量。为便于后续分析，建议优先保存为 pcap 文件再解码。
方案一 使用 tcpdump 进行快速解码
- 实时查看明文载荷（ASCII）：抓取指定接口的明文流量，并以可读文本显示，例如 HTTP/FTP 控制通道。
- 命令示例：sudo tcpdump -i eth0 -s 0 -A ‘port 80 or port 21’
- 关键点：使用 -s 0 抓取完整数据包，避免载荷被截断；使用 -A 输出 ASCII 可读内容。
- 十六进制+ASCII 双格式查看：便于同时观察二进制与文本混合内容。
- 命令示例：sudo tcpdump -i eth0 -s 0 -X ‘tcp port 80’
- 识别 HTTP 请求行（无需完整解码器）：通过载荷特征快速筛选 GET/POST 等请求。
- 命令示例：sudo tcpdump -XvvennSs 0 -i eth0 ‘tcp[20:2]=0x4745 or tcp[20:2]=0x4854’
- 说明：0x4745 对应 “GE”，0x4854 对应 “HT”，用于匹配 HTTP 方法起始字节。
- 保存后再读入分析：先用 -w 写文件，再用 -r 读取，便于反复分析与分享。
- 命令示例：sudo tcpdump -i eth0 -w capture.pcap；后续 sudo tcpdump -r capture.pcap -nn。
方案二 使用 Wireshark 或 tshark 进行分层解码与报表
- 安装与图形化分析：在 CentOS 上安装 Wireshark，打开 capture.pcap 后可逐层展开协议栈（如 Frame/Ethernet/IPv4/TCP/HTTP），直观查看各层字段与重组后的应用数据。
- 安装：sudo yum install wireshark -y；启动：sudo wireshark（或在远程桌面/本地 X11 转发中使用）。
- 命令行统计与报表导出：使用 tshark 将关键字段导出为 CSV，便于自动化与报表生成。
- 导出示例：sudo tshark -r capture.pcap -T fields -e frame.number -e ip.src -e ip.dst -e tcp.port -E separator=, -E quote=d -E header=y > report.csv
- 适用场景：协议字段级问题定位、会话重组、统计报表、跨主机/跨平台协作分析。
方案三 使用 Python 脚本自定义解码
- 以 Scapy 读取并解析 pcap：适合做协议字段提取、会话流分析、自动化告警与二次处理。
- 安装：sudo yum install python3-scapy -y（或 pip 安装 scapy）
- 示例脚本：
- from scapy.all import *
- for p in rdpcap(‘capture.pcap’):
- if TCP in p:
- print(p[IP].src, p[IP].dst, p[TCP].sport, p[TCP].dport, p[TCP].flags)
- 适用场景：批量解析、与自有系统/数据库集成、特定协议深度解析与自定义报表。
方案四 进阶 解码 HTTPS TLS 流量
- 使用服务器私钥解密（RSA 静态密钥场景）：在 Wireshark 中配置 Protocols → SSL → RSA key lists，填入目标 IP/端口/协议(http)/私钥文件(PFX) 与密码。若握手使用 ECDHE/DHE 等前向保密算法，则无法用私钥解密。
- 使用 SSLKEYLOGFILE 解密（推荐）：在客户端设置环境变量 SSLKEYLOGFILE 指向可写文件，浏览器（如 Chrome/Firefox）会将会话密钥写入；随后在 Wireshark 中将该文件路径填入 (Pre)-Master-Secret log filename，即可解密 HTTPS/HTTP2 流量。
抓包与解码最佳实践
- 权限与安全：抓包需 root 或具备 CAP_NET_RAW 能力；务必获得合法授权，避免触犯隐私与合规要求。
- 避免丢包：优先使用 -s 0 抓取完整帧；必要时限制抓包数量（如 -c）或过滤表达式，防止磁盘被占满。
- 精准过滤：结合 BPF 表达式聚焦目标流量（如仅 port 80 或特定主机/网段），提升解码与分析效率。
- 协作分析：现场抓包、远端用 Wireshark/tshark 深度分析，结合 CSV 报表共享结论。