渗透测试的本质是模拟攻击者视角发现系统弱点，而流量嗅探与抓包分析相当于给测试者装上了网络层的显微镜。无论是内网横向移动、Web应用漏洞验证，还是凭据窃取与权限维持，抓包数据都能提供最直接的证据和攻击路径。本文从二层嗅探原理讲起，结合常用工具和真实流量样本，剖析如何从数据包中还原攻击行为。
流量嗅探的底层原理：为什么你能看见别人的包
在共享式集线器网络中，所有主机处于同一冲突域，网卡默认可以接收到所有帧，只要将网卡设置为混杂模式，就能捕获非本机MAC地址的数据。但现代网络几乎都采用交换机，交换机通过MAC地址表将帧定向转发到目标端口，普通主机无法直接收到其他端口的流量。
攻击者要绕过这一限制，通常会利用ARP协议没有认证机制的特点。主机在发送数据前会广播ARP请求询问目标IP对应的MAC地址，任何设备都可以应答。攻击者持续发送伪造的ARP响应，声称网关IP对应攻击者MAC，目标主机就会把发往网关的流量送到攻击者网卡；同时欺骗网关，声称目标IP对应攻击者MAC，即可实现双向流量经过攻击者，也就是ARP欺骗。这种方式可以配合ip_forward开启转发，让受害者无感知。
除此之外，端口镜像和安全工具部署也是合法抓包场景。交换机管理员可以把某个端口或VLAN的流量镜像到监控端口，便于接入Wireshark集中分析。渗透测试中如果已经拿到交换机的管理权限，也可以远程配置SPAN端口获取东西向流量。
常用抓包工具与过滤器实战
Wireshark是最常用的图形化分析工具，tcpdump则适合在命令行下快速抓取。两种工具都使用BPF过滤语法，在捕获阶段减少无关数据量。例如只抓取目标主机的80端口流量，可以用以下命令。
tcpdump -i eth0 host 192.168.1.100 and tcp port 80 -w web.pcap
参数中的-i指定网卡，-w写入文件。若需要实时查看数据包摘要，可以去掉-w并添加-n避免反向域名解析。BPF过滤支持host、net、port、portrange、src、dst等原语，并可用and、or、not组合。比如抓取除SSH外的所有TCP流量：
tcpdump -i eth0 tcp and not port 22 -nn
Wireshark的显示过滤器则更强调事后分析，它不会减少捕获文件大小，而是从已捕获流量中筛选。常见过滤器如tcp.stream eq 0用于追踪一条TCP连接，http.request.method == "POST"可定位POST请求，dns.qry.name contains "example"用于匹配域名。需要特别说明，显示过滤器中的双引号只在软件内使用，不影响页面结构。
抓包时还要注意选择正确的捕获接口，在Windows上使用WinPcap或Npcap，Linux上使用libpcap。若在无线环境，需要网卡支持监听模式才能捕获802.11管理帧和数据帧，否则只能抓到本机接口的以太网帧。
TCP会话还原与Web流量剖析
很多渗透测试价值点并不是孤立的数据包，而是完整的数据流。Wireshark的Follow TCP Stream功能可以把一次TCP连接的收发数据按顺序组合，方便查看HTTP请求和响应。比如在登录页面提交账号密码时，如果站点没有启用HTTPS，凭据会以明文形式出现在POST body中。
下面是一次HTTP基本认证的抓包片段，可以使用Wireshark追踪流看到类似内容：
POST /login HTTP/1.1 Host: 192.168.1.10 Content-Type: application/x-www-form-urlencoded Content-Length: 32 username=admin&password=123456
如果站点使用HTTP摘要认证，虽然密码不会直接暴露，但抓包仍可获取nonce、realm和响应哈希，攻击者可以离线爆破。更常见的场景是登录后的Cookie传输，通过http.cookie过滤器可以提取会话标识，测试会话固定或未设置Secure属性的问题。
DNS流量也值得关注。内网主机大量请求同一陌生域名，可能意味着DNS隧道或C2通信。使用dns.qry.type == 16可过滤TXT记录，攻击者常利用TXT记录的高容量特性传输数据。
加密流量抓包与防御检测
HTTPS的普及使直接查看应用层内容变得困难，但渗透测试仍可从握手阶段的SNI、证书信息和会话票据中获得线索。Wireshark查看ClientHello包，SNI字段会暴露客户端访问的域名，即使没有解密也能知道目标站点。某些老旧TLS版本还存在协议漏洞，可结合降级攻击进一步分析。
要在测试环境中解密HTTPS，可以设置环境变量SSLKEYLOGFILE让浏览器或客户端导出会话密钥，再在Wireshark的TLS协议属性中加载该文件。这样不会影响业务，但前提是能控制客户端。对移动App，则需要配合抓包工具如Burp Suite或mitmproxy安装自定义CA证书，实现中间人解密。
防御侧可以通过检查ARP表变化、部署DHCP Snooping、开启端口安全来抑制欺骗行为。交换机端口安全可限制每个端口学习的MAC数量，DAI动态ARP检测则验证ARP响应的合法性。对重要网段，还可以部署IDS基于特征检测异常的TCP重传、ICMP隧道等流量。