网络安全基础：Burp Suite 与 Wireshark 抓包分析入门

② 请求头部：

• Host：表示服务器的主机名。
• User-Agent：表示浏览器或客户端的相关信息。
• Accept：表示客户端能够接受的响应内容类型。
• Accept-Language：表示客户端所支持的语言偏好。
• Accept-Encoding：表示客户端能够接受的压缩编码方式。
• Content-Type：表示请求主体的数据格式为 URL 编码形式，字符集为 UTF-8。
• X-Requested-With：表示该请求是由 XMLHttpRequest 对象发起的。
• Content-Length：表示请求主体的数据长度。
• Origin：表示请求的来源。
• Connection：表示请求完成后关闭连接。
• Referer：表示请求的来源网页。
• Cookie：表示客户端发送的 Cookie 数据，这里包含了名为 PHPSESSID 的会话 ID。

③ 请求主体：

• t0=admin&t1=admin&t2=spxc&token=...：表示具体的表单数据，以 URL 编码形式展示。其中 t0、t1、t2 和 token 为参数名，后面的值为具体的参数值。t0 表示输入的用户名、t1 表示输入的密码、t2 表示输入的验证码。

总结：该 POST 请求的目的是向服务器提交一些表单数据。请求头部提供了一些附加信息，如请求的主机名、浏览器信息、接受的响应类型等。请求主体中包含了具体的表单数据，也就是我们输入的账号密码。这整个数据包就是登录过程的请求。

3. HTTPS 抓包注意事项

在进行 HTTPS 抓包时，由于数据是加密传输的，需要安装 Burp 的 CA 证书到浏览器信任列表中，否则无法解密流量。具体步骤如下：

1. 在 Burp Suite 中访问 http://burpsuite 下载 CA 证书。
2. 将证书导入到操作系统的受信任根证书颁发机构存储区。
3. 确保浏览器设置中启用了 SSL/TLS 代理支持。
4. 重新尝试访问目标网站，此时流量将被解密显示。

三、Wireshark 网络抓包分析软件

Wireshark 使用 WinPCAP 作为接口，直接与网卡进行数据报文交换。

1. 网卡选择与捕获

打开 Wireshark 后，第一步要做的就是选择对应的网卡。一般正常情况下，笔记本选择 "WLAN"，有线连接选择对应的 "本地连接"。如果是与虚拟机交互的，那么就要选择对应的虚拟机网卡。

选择完对应的网卡后，会直接抓取数据包，点击红色的按钮可关闭捕获。

2. 过滤器使用

Wireshark 界面会有非常多的数据，我们需要在过滤器内输入相应的命令，对数据包进行过滤。

常用过滤条件示例

① 过滤特定 IP 地址：

• 显示源 IP 地址为 192.168.1.100 的数据包：ip.src == 192.168.1.100
• 显示目的 IP 地址为 192.168.1.200 的数据包：ip.dst == 192.168.1.200
• 显示源或目的 IP 地址为 192.168.1.100 的数据包：ip.addr == 192.168.1.100

② 过滤特定协议：

• 显示所有 TCP 数据包：tcp
• 显示所有 UDP 数据包：udp
• 显示所有 ICMP 数据包：icmp

③ 过滤端口号：

• 显示源或目的端口号为 80 的数据包：tcp.port == 80 or udp.port == 80

④ 组合多个条件：

• 显示源 IP 地址为 192.168.1.100 并且目的端口号为 80 的 TCP 数据包：ip.src == 192.168.1.100 and tcp.dstport == 80

实战案例：MySQL 登录过程

像上述抓取 MySQL 登录过程的数据包，则需要筛选目的地址为 172.17.200.13，端口号为 3306 的数据包，可以使用以下过滤条件进行过滤：

ip.addr == 172.17.200.13 and tcp.dstport == 3306

通过过滤，我们很快就能找到在这个登录过程中传输了哪些数据。例如再抓取一个查询表的数据包，由于数据包比较多，我们可以右键 → 追踪流 → TCP 流。

Wireshark 中的 "追踪流" 功能是用于分析和展示特定协议或会话的整个数据流的功能。当观察特定协议或会话时，Wireshark 会将相关的数据包按照时间顺序进行排序并展示整个通信过程。通过 "追踪流" 功能，您可以按照报文的传输顺序，一次性地查看发送和接收的数据包，从而更好地理解协议的交互过程。

在这里我们可以直观地看到刚刚输入的数据，以及数据库返还给我们的数据，均是明文传输，统统被抓取到了。所以要设置 SSL 连接来保证数据传输过程中的保密性，如果 MySQL 开启了 SSL，不采用 SSL 则会被拒绝。

四、安全建议与最佳实践

1. 避免明文传输：在生产环境中，务必使用 HTTPS 或 TLS 加密通道，防止敏感信息（如密码、Token）被窃听。
2. 定期更新工具：保持抓包工具及系统补丁的最新状态，防止因工具漏洞导致的安全风险。
3. 合法合规使用：抓包技术应用于授权测试、故障排查及学习研究，严禁用于非法入侵或窃取他人隐私。
4. 注意流量特征：在复杂网络环境下，结合 DNS 解析、MAC 地址等多维度信息进行综合分析，提高定位效率。

以上简单介绍了一下常用的抓包工具，仅作为介绍了解使用，更深入的用法需要自行搜索相应资料研究。