無(wú)論作為網(wǎng)絡(luò)運(yùn)維人員，還是安全滲透工程師，在工作中都會(huì)無(wú)可避免地碰到網(wǎng)絡(luò)抓包的需求。

對(duì)網(wǎng)絡(luò)運(yùn)維人員，網(wǎng)絡(luò)抓包可以：

定位網(wǎng)絡(luò)里的異常設(shè)備；

排查網(wǎng)絡(luò)性能瓶頸；

了解真實(shí)的網(wǎng)絡(luò)互聯(lián)狀態(tài)。

對(duì)安全滲透工程師，網(wǎng)絡(luò)抓包可以：

有助于逆向分析聯(lián)網(wǎng)型App；

從真實(shí)流量中發(fā)現(xiàn)可利用的漏洞；

定位可能的網(wǎng)絡(luò)后門和木馬。

以上這些目標(biāo)，往往無(wú)法僅靠在本機(jī)上抓包完成，必須在網(wǎng)絡(luò)層有更方便的抓包解決方案。在古早還使用集線器（Hub）時(shí)，由于Hub設(shè)備不夠“智能”，它會(huì)把所有的流量轉(zhuǎn)發(fā)給所有的端口（除了發(fā)出端口之外），所以只要把監(jiān)聽(tīng)機(jī)

器的網(wǎng)卡設(shè)置為混雜模式（promiscuous mode），即可收到接在同一個(gè)Hub上其他機(jī)器的流量。但這種方式隨著Hub退出市場(chǎng)，也慢慢不再適用了。

以下介紹幾種在實(shí)驗(yàn)室環(huán)境和中小型網(wǎng)絡(luò)里的網(wǎng)絡(luò)抓包方式。它們不是企業(yè)級(jí)專業(yè)級(jí)的解決方案，而更適用于個(gè)人網(wǎng)絡(luò)逆向分析和問(wèn)題定位。

一、網(wǎng)絡(luò)分流器（TAP）

網(wǎng)絡(luò)分流器大多都是無(wú)源型（passive）設(shè)備，所以不需要裝任何軟件，不需要有什么額外知識(shí)，就能抓到流經(jīng)網(wǎng)線的流量。一款非常小巧便攜的適合個(gè)人使用的網(wǎng)絡(luò)分析器如圖：

上圖東西的全名叫“Throwing Star LAN TAP”，用上述關(guān)鍵字在淘寶可以找到，盛惠50大元。通過(guò)和參照物的對(duì)比，可以看出它非常小巧，而且無(wú)需電源供電，只是在接入網(wǎng)絡(luò)時(shí)會(huì)引起短暫的網(wǎng)絡(luò)中斷，基本對(duì)網(wǎng)絡(luò)沒(méi)有影響。

它共有4個(gè)RJ45口，形成一個(gè)飛鏢狀（飛鏢的英文就是“Throwing Star”）的十字結(jié)構(gòu)。使用時(shí)把J1-J2串入需要做抓包的網(wǎng)絡(luò)中，J3和J4連接抓包機(jī)器。也就說(shuō)J3和J4兩個(gè)口，是分別捕獲流入和流出兩個(gè)方向的流量，再分別復(fù)制給監(jiān)聽(tīng)系統(tǒng)的兩個(gè)網(wǎng)絡(luò)端口的。所以要想同時(shí)捕獲監(jiān)控鏈路里的所有流量，監(jiān)控工作臺(tái)電腦必須有兩塊用于嗅探的網(wǎng)卡。這個(gè)也并不難實(shí)現(xiàn)，除了默認(rèn)的有線網(wǎng)卡之外，只要再接一個(gè)USB接口的有線網(wǎng)卡即可。以下為TAP接入網(wǎng)絡(luò)的場(chǎng)景：

TAP可以直接串在要抓包的設(shè)備前面，也可以接到某臺(tái)交換設(shè)備前面。如果接在交換設(shè)備前，得到的流量可能很大，在設(shè)置抓包參數(shù)時(shí)需要做適當(dāng)?shù)倪^(guò)濾。如上圖示意圖，我們使用的抓包機(jī)器為 Linux系統(tǒng)，上有兩塊有線網(wǎng)卡，分別連接J3和J4接口。要注意的是，抓包機(jī)器這樣接入TAP后，自身是無(wú)法上網(wǎng)的！

在抓包機(jī)器上，執(zhí)行 tshark-D 命令，獲得系統(tǒng)里當(dāng)前可以抓包的所有接口列表。需要對(duì)哪個(gè)接口抓包，可以用 -i 參數(shù)指定。如下圖的網(wǎng)卡列表中，排名第一的 "1.enp0s25" 即為系統(tǒng)自帶有線網(wǎng)卡，排名第二的 “2. enx00e04c680039” 是USB接口的有線網(wǎng)卡。如果需要同時(shí)對(duì)兩塊網(wǎng)卡做抓包，只需要在 tshark -i 參數(shù)后，加入網(wǎng)卡編號(hào)即可。所以最后執(zhí)行的命令為： tshark-i1-i2-w cap2.pcap，就可以把流經(jīng)TAP的全部流量，保存到 cap2.pcap 文件里。

以上步驟雖然是以Linux操作系統(tǒng)的抓包機(jī)器來(lái)做示例，但完全可以移植到其他平臺(tái)，如Windows平臺(tái)甚至可以直接在圖形界面的Wireshark里選定要抓包的網(wǎng)絡(luò)接口，操作上更直觀可用。從獲得的cap2.pcap抓包文件里再做細(xì)致的數(shù)據(jù)包分析和檢索。

如下圖中查看的端點(diǎn)列表。

以及下圖中的往來(lái)HTTP流量。如果抓包機(jī)器上只有一個(gè)網(wǎng)卡，只能連到J3/J4接口之一，則下面這個(gè)截圖里的HTTP流量，在同一時(shí)間內(nèi)只能獲得請(qǐng)求或者響應(yīng)單個(gè)方向的流量。

二、有網(wǎng)管功能的小交換機(jī)

上面介紹的無(wú)源 TAP固然非常便攜，但如果不樂(lè)意在自己機(jī)器上多準(zhǔn)備一個(gè)網(wǎng)絡(luò)接口，就無(wú)法同時(shí)抓到雙向的流量。如何解決這個(gè)問(wèn)題呢？最簡(jiǎn)單的方式，是使用具備網(wǎng)管功能的交換機(jī)?，F(xiàn)在具備網(wǎng)管功能的交換機(jī)并不昂貴，有大量適用于辦公網(wǎng)絡(luò)的小交換機(jī)可供選購(gòu)。在選購(gòu)的過(guò)程中，請(qǐng)注意它的功能列表是否標(biāo)有“支持端口鏡像”，如果有，就可以滿足抓包的需求。如我們測(cè)試使用的這款tp-link TL-SG2005小交換機(jī)：

這類設(shè)備使用方式取決于不同的品牌和型號(hào)，請(qǐng)閱讀相關(guān)說(shuō)明說(shuō)。在我們這款設(shè)備中，只需要把監(jiān)控機(jī)器接到某個(gè)網(wǎng)絡(luò)接口（下圖中抓包機(jī)器接在端口5上），并訪問(wèn)內(nèi)置Web控制臺(tái)，從Web控制臺(tái)上，指定對(duì)哪個(gè)或哪幾個(gè)端口進(jìn)行流量鏡像即可（下圖中需要被抓包的機(jī)器在端口4上）。 配置示例如下圖：

如上圖設(shè)置完成后，即可在端口5所連的抓包機(jī)器上，非常方便地對(duì)接在端口4所接機(jī)器執(zhí)行抓包監(jiān)控。

三、用兩塊網(wǎng)卡的Linux方案

hmmm，上面的方法確實(shí)都很不錯(cuò)啦，但好像都只支持有線連接的設(shè)備抓包？如果需要對(duì)無(wú)線設(shè)備的流量抓包怎么辦呢？這可以通過(guò)各種裝有2個(gè)網(wǎng)卡，搭建自己的無(wú)線 AP實(shí)現(xiàn)。預(yù)算低的可以選擇樹(shù)莓派這類ARM平臺(tái)硬件系統(tǒng)，預(yù)算充裕的可以選擇帶無(wú)線網(wǎng)卡的各種迷你電腦。自行在這些機(jī)器安裝合適的Linux發(fā)行版，并把這些設(shè)備配置成“有線-無(wú)線網(wǎng)卡”的網(wǎng)橋/無(wú)線接入點(diǎn)，然后直接在這臺(tái)機(jī)器的網(wǎng)橋接口上進(jìn)行抓包。這種方式可以指定源端機(jī)器的詳細(xì)信息做過(guò)濾，如IP地址或MAC地方，抓包過(guò)濾可以更定制化更精確。以下我們以裝了基于Debian系統(tǒng)的樹(shù)莓派舉例說(shuō)明大體步驟。

樹(shù)莓派已自帶一塊有線網(wǎng)卡和一塊無(wú)線網(wǎng)卡接口，在系統(tǒng)中分別名為eth0和wlan0。以下用樹(shù)莓派3在官方Raspbian平臺(tái)的情況舉例。

首先安裝 (1)網(wǎng)橋管理程序 bridge-utils、(2)軟AP接入點(diǎn)管理程序hostapd、(3)命令行抓包工具tshark 和 (4)隨機(jī)數(shù)產(chǎn)生工具rng-tools：

sudo apt-get install -y bridge-utils hostapd tshark rng-tools

要啟用網(wǎng)橋功能，需要在內(nèi)核里把 net.ipv4.ip_forward 置為1。修改 /etc/sysctl.conf ，加入以下這行：

net.ipv4.ip_forward=1

創(chuàng)建一個(gè)網(wǎng)橋br0，編輯 /etc/network/interfaces，把eth0 網(wǎng)卡加入網(wǎng)橋br0，把網(wǎng)橋br0的IP，設(shè)置為原來(lái)eth0的IP。

也就是【address 192.168.99.13】這一行，應(yīng)為 eth0 網(wǎng)卡的原IP地址，其他信息如網(wǎng)關(guān)和dns等請(qǐng)根據(jù)實(shí)際情況修改。

auto lo

iface lo inet loopback

auto eth0

iface eth0 inet manual

allow-hotplug wlan0

iface wlan0 inet manual

#創(chuàng)建一個(gè)網(wǎng)橋br0，把eth0加入這個(gè)網(wǎng)橋

#給網(wǎng)橋指定一個(gè)靜態(tài)IP，這里用192.168.99.13，是因?yàn)闃?shù)莓派所接網(wǎng)段為192.168.99.0/24，需要根據(jù)實(shí)際情況修改

#網(wǎng)橋的靜態(tài)IP建議和原來(lái)的eth0靜態(tài)ip保持一致，雖然不是強(qiáng)制項(xiàng)

auto br0

iface br0 inet static

        bridge_ports eth0

        address 192.168.99.13

        netmask 255.255.255.0

        network 192.168.99.0

        broadcast 192.168.99.255

        gateway   192.168.99.1

        dns-nameservers 8.8.8.8

#如果網(wǎng)橋需要用dhcp方式獲得IP

#iface br0 inet dhcp

把無(wú)線網(wǎng)卡wlan0配置為AP熱點(diǎn)，熱點(diǎn)的ssid名為【wifi_ssid】，密碼為【12345678】，編輯文件 /etc/hostapd/hostapd.conf ：

# 把wlan0網(wǎng)卡配置為ap熱點(diǎn)

interface=wlan0

driver=nl80211

hw_mode=g

channel=6

ieee80211n=1

wmm_enabled=1

ht_capab=[HT40][SHORT-GI-20][DSSS_CCK-40]

macaddr_acl=0

auth_algs=1

ignore_broadcast_ssid=0

wpa=2

wpa_key_mgmt=WPA-PSK

rsn_pairwise=CCMP

# 接入點(diǎn)名稱，可按實(shí)際需求修改

ssid=wifi_ssid

# 接入點(diǎn)驗(yàn)證密碼，可按實(shí)際需求修改

wpa_passphrase=12345678

# 把接入點(diǎn)加入網(wǎng)橋br0

bridge=br0

要持久化以上熱點(diǎn)配置，編輯hostapd服務(wù)文件，執(zhí)行命令 sudo vi/etc/systemd/system/hostapd.service，把 /etc/systemd/system/hostapd.service 文件的內(nèi)容設(shè)置為：

[Unit] Description=Hostapd Service [Service] Type=forking ExecStart=/usr/sbin/hostapd -B /etc/hostapd/hostapd.conf [Install] #WantedBy=multi-user.target WantedBy=graphical.target Alias=hostapd.service

其中【W(wǎng)antedBy=】一行取決于當(dāng)前系統(tǒng)的默認(rèn)啟動(dòng)級(jí)別，可以先執(zhí)行命令 systemctlget-default 確認(rèn)默認(rèn)啟動(dòng)級(jí)別。根據(jù)實(shí)際情況，選擇其中一種。

再把hostapd服務(wù)指定為自啟動(dòng)模式：

sudo update-rc.d hostapd defaults
sudo update-rc.d hostapd enable
service hostapd status

完成后重啟機(jī)器， sudo reboot now 。

重啟重新登錄系統(tǒng)后，執(zhí)行以下命令查看網(wǎng)橋br0的狀態(tài)：

$ brctl show br0
bridge name     bridge id               STP enabled     interfaces
br0             8000.b827eb99a031       no              eth0
                                                        wlan0

$ifconfig br0
br0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.99.90  netmask 255.255.255.0  broadcast 192.168.99.255
        inet6 fe80::ba27:ebff:fe99:a031  prefixlen 64  scopeid 0x20<link>

執(zhí)行以下命令，驗(yàn)證和查看wlan0網(wǎng)卡上的熱點(diǎn)狀態(tài)，在返回的內(nèi)容里，看到【ssid wifi_ssid】，即為熱點(diǎn)正常啟動(dòng)。

$sudo iw wlan0 info
Interface wlan0
        ifindex 3
        wdev 0x1
        addr b8:27:eb:cc:f5:64
        ssid wifi_ssid
        type AP
        wiphy 0
        channel 6 (2437 MHz), width: 20 MHz, center1: 2437 MHz
        txpower 31.00 dBm

重啟和驗(yàn)證過(guò)網(wǎng)橋和熱點(diǎn)信息后，掃描所在無(wú)線網(wǎng)絡(luò)，果然看到名為“wifi_ssid”的接入點(diǎn)。從手機(jī)的WIFI設(shè)置上，選擇加入該無(wú)線網(wǎng)絡(luò)：

此時(shí)只要登錄樹(shù)莓派，執(zhí)行以下命令行，在 host參數(shù)里指定手機(jī)的IP地址，即可對(duì)該IP的所有流量進(jìn)行精確抓包：

tshark -i br0 -w traffic_from_mobile.pcap 'host 192.168.99.114'

最后得到的 traffic_from_mobile.pcap 文件里就獲得這臺(tái)手機(jī)的完整流量了。

四、總結(jié)

從以上介紹可以看出，網(wǎng)絡(luò)層抓包有各種可選方式，建議根據(jù)自己的需求和具體網(wǎng)絡(luò)架構(gòu)，選擇適用的模式。另外也可以進(jìn)行多種模式的疊加和串接，實(shí)現(xiàn)更靈活的抓包模式。

同時(shí)我們也要提醒一下：網(wǎng)絡(luò)抓包有風(fēng)險(xiǎn)！不要貿(mào)然實(shí)施未獲授權(quán)的抓包，可能會(huì)違法違規(guī)，以上方式只建議在實(shí)驗(yàn)和學(xué)習(xí)環(huán)境中使用。

最后，我們也再完整地總結(jié)一下上述三種方式的對(duì)比：

（朱筱丹 | 天存信息）

Ref

1. J. Bullock, J T. Parker - Wireshark for security professionals
2. Using a Raspberry Pi 3 as a WiFi Access Point and Bridge
3. NetworkConfiguration
4. RPI-Wireless-Hotspot