简介：Sniffer 抓包实验教程面向网络管理员、运维初学者与计算机网络课程学习者，围绕以太网混杂模式下的数据包捕获原理及 Sniffer Pro 的实操流程展开，帮助读者理解协议交互细节、建立流量分析的基本思路，也可用于网络故障排查与安全测试的入门练习。压缩包内为 1 个 doc 文档，约 411KB，采用图文并排的步骤讲解：先说明工具如何把网卡置为混杂模式并截获发往其他主机的报文，再依次记录安装目录选择、注册信息与序列号填写、网络连接方式配置等环节，并附安装过程截图供对照。文档还提到修改监听模式后需重启计算机才能生效，以及无法捕获数据包、连接异常等常见问题的检查方向，便于读者按图索骥完成一次完整实验。目前已有 926 人学习，适合希望以较低时间成本入门抓包分析、补齐动手环节的读者。

1. 从一台只能看见广播的网卡说起：Sniffer 抓包实验到底在练什么

很多人照着 sniffer 抓包实验教程做第一遍，都会卡在同一个反直觉的现象上：软件装好了、网卡也在跑、开始抓包也有计数，可抓到的清一色是广播帧和 ARP，自己想看的那台机器的流量一个字节都没有。于是开始怀疑安装包有问题、怀疑系统不兼容，其实是抓包点选错了，工具本身没有问题。这份资源是一套围绕 Sniffer Pro 的实验教程，从网卡为什么能被置成混杂模式讲起，一直走到安装、注册、连接方式配置和抓包分析，适合网络方向的课程实验复现，也适合想搞明白“抓包到底抓在哪一层”的运维和开发。它最有价值的地方是讲清了混杂模式的边界：软件决定你能不能看见，链路决定你有没有东西可看。

2. 混杂模式与抓包点：为什么软件装对了还是抓不到别人的包

2.1 网卡默认只收三种帧，混杂模式关掉的是 MAC 过滤

以太网帧头里前 12 个字节是两个 MAC 地址，前 6 字节是目的地址。网卡的接收逻辑非常朴素：目的 MAC 等于自己的 MAC、等于全 F 的广播地址、或者等于自己已加入的组播地址，才把这一帧收下来交给上层协议栈，其余的直接在硬件层丢掉，CPU 根本不知道有这帧存在过。这是网卡出厂就有的过滤机制，目的是省资源，不是为了防谁。混杂模式（promiscuous mode）做的事就是把这个过滤条件改成“全收”，驱动把接收控制寄存器里的过滤位改掉，之后链路上每一个到达本端口的帧都会被完整上交。

Sniffer 这类工具在 Windows 上并不是简单开个 socket，它装的是一个协议驱动，绑定在网卡上，从驱动层直接拿原始帧，再自己解析以太网头、IP 头、TCP/UDP 头。这也是为什么安装程序要往系统里写服务、为什么装完必须重启：驱动要在启动阶段完成与网卡的绑定，运行期热加载往往绑不上，表现就是软件能打开、能选网卡，但抓包计数一直不动。

提示：混杂模式改的是“收不收”，不改“能不能到”。帧如果压根没被交换机转发到这个端口，网卡再怎么混杂也看不见。

2.2 共享式链路与交换式链路：抓包点先于工具选型

早期实验环境大量用集线器，所有端口处在同一个冲突域，任何一台机器把网卡置为混杂，就能看到整个网段的所有帧，教程里的“能接收传输在网络上的每一个信息包”这句话在那个年代是成立的。现在基本都是交换机，交换机维护一张 MAC 地址表，收到帧后只往目的 MAC 对应的那个端口转发，其余端口什么都收不到。这时候你在接入端口上开混杂模式，能看到的只有三类东西：广播帧、组播帧、以及本来就要发给你的单播帧。

想看到别人的流量，链路侧必须先做动作，常见做法有三种：

我一般会先问一句“你要看的是哪两个 IP 之间的流量”，再决定抓包点。如果两端都不在本机，那就老老实实去做镜像，别在软件设置里折腾，那是白费功夫。另外镜像口一般不带发送能力，别把管理 IP 配在镜像口上还指望能远程连过去，这是血泪经验。

无线环境另说，普通无线网卡在基础设施模式下只能收到和自己关联的帧，要抓空口全量帧需要网卡和驱动支持监听模式，而且不同芯片差异极大。老版本 Sniffer 对无线基本没有可用支持，实验里遇到无线网卡，直接换有线。

2.3 Sniffer Pro 与通用抓包工具的取舍：老实验环境里它还剩什么价值

单论抓包能力，今天的通用工具在协议覆盖、过滤语法、文件格式、脚本化上都更强。那这套教程还值不值得跟着做？我的判断是分场景的。如果你是要交一份课程实验报告、要复现某个老版本软件的操作流程、要在答辩时讲清楚混杂模式和协议分层，那 Sniffer Pro 的价值在于它的界面把三层结构摊得很开：Summary 一行一帧看五元组，Detail 逐层展开看每个字段的取值，Hex 看原始字节，三栏联动，对初学者理解“协议是一层一层剥出来的”这件事非常直观。它的 Dashboard 还能直接给利用率、广播占比、错误帧计数，做网络性能类的实验很省事。

但它的问题也很明确：只支持老版本 Windows，安装包是 32 位，驱动签名在新系统上往往过不去；抓包性能有限，千兆跑满时丢帧严重；保存的文件是自有格式，不导出就没法用别的工具二次分析；对 IPv6、TLS 这类现代协议基本没有像样的解码。所以我的用法是：拿它做教学演示和解码对照，真正的排查主力还是通用工具，两边抓同一段流量对比着看，反而更容易讲清楚每个字段的含义。

3. 安装与注册：从解压到重启的八个动作

3.1 装之前先确认三件事

第一件是位数匹配。这套软件是 32 位的，装在 64 位系统上要靠兼容层跑，主程序能起来，但驱动绑定那一步失败率很高，表现是安装过程一路绿灯、重启后打开软件选网卡，列表里空空如也。如果必须在新系统上做实验，我一般会开一台 32 位的老系统虚拟机，把它当成一次性的实验沙箱，做完快照回滚，比在真机上反复卸载重装省事得多。

第二件是权限。安装程序要写系统目录、注册服务、装协议驱动，必须用本地管理员账户运行。右键“以管理员身份运行”这一步不要省，UAC 弹窗点掉之后安装程序如果没有真正提权，会在复制驱动文件时静默失败，最后仍然提示完成，你却在后面所有步骤里都找不到原因。

第三件是干扰项。装之前把会拦截驱动加载的安全软件临时关掉，装完再开回来。字符集也要注意，安装路径、注册信息全部用半角英文和数字，别用中文目录，也别把安装包放在桌面那种带中文用户名的深层路径下。这些都不是玄学，老安装程序对非 ASCII 路径的处理确实很脆弱。

3.2 注册对话框里的字段怎么填

安装向导走到用户注册那一步时，会弹出一个表单，字段不多，但有两个地方容易翻车。一是 Email，必须符合规范、带半角@和域名部分，全角＠、中文括号、缺域名都会被拦下，表现是“下一步”按钮灰着或者点下去弹回原页。二是序列号，实验手册里给的那串直接填进去，格式是分段的大写字母加数字，中间用短横线分隔，抄的时候注意别把数字 0 和字母 O 弄混。

注册信息本身不做真实性校验，随便填都能过，但字符集校验是真的会拦人。这一条我吃过亏：在一台中文输入法默认全角的机器上填邮箱，怎么点都没反应，盯着屏幕看了十分钟才反应过来那个＠是全角的。从那以后我在虚拟机里装任何老软件，第一步都是先把输入法切成英文。

3.3 连接方式选择与安装后验证

向导随后会问这台机器的网络是怎么连出去的。机器直接接在交换设备或路由设备上、由本机自己发起连接的，选第一项直连（界面上写的是 direct connection to the internet）就行。只有当这台机器明确要经过中间服务器转发才能访问外部网络时，才去选后面的选项。选错了不会影响抓本机网卡的流量，但会影响软件启动时的一些自检动作，实验里的典型表现是双击图标后长时间停在启动画面、任务管理器里进程在但界面不出来。

选完连接方式，安装程序开始把必需文件复制到本地硬盘，进度条走完出现 setup complete，点 finish。此时会提示重启，这个重启不是可选项。前面说过，驱动要在启动阶段接管网卡、改掉接收过滤模式，运行期热加载绑不上，跳过重启的直接后果是混杂模式没生效，抓包只能看到广播。

重启后先别急着开软件，用几条命令确认一下环境是不是真的到位：

# 1. 看网卡本体是否正常识别，重点看 Status 和 LinkSpeed Get-NetAdapter | Format-Table Name, InterfaceDescription, Status, LinkSpeed -AutoSize # 2. 看抓包相关的服务/驱动有没有注册上（服务名以现场安装为准，用通配匹配） Get-Service | Where-Object { $_.Name -like "*sniff*" -or $_.DisplayName -like "*sniff*" } | Format-Table Name, DisplayName, Status -AutoSize # 3. 找到实际安装目录，确认主程序和驱动文件都在 $installRoot = (Resolve-Path "C:\Program Files\*\SnifferNT" -ErrorAction SilentlyContinue).Path if ($installRoot) { Get-ChildItem $installRoot -Filter *.exe | Select-Object Name, Length, LastWriteTime | Format-Table -AutoSize } else { Write-Host "没找到默认安装目录，检查是否改过路径" }

第一条命令确认网卡本身没问题，别把链路层故障当成软件故障。第二条命令查的是驱动有没有注册成服务，如果一条都匹配不到，说明安装时驱动那一步被拦了，回去关掉安全软件重装。第三条命令用通配符去匹配 Program Files 下的厂商目录，避免硬编码公司名和产品名，找到后再看主程序 exe 是否存在、大小是否正常——安装不完整时文件大小会明显偏小。这三步确认完再打开软件，能省掉后面一大半的无效排查。

3.4 首次启动后的三处设置

软件第一次起来后，先去选网卡。菜单里找到网卡选择的入口，如果列表里有多块网卡，只勾选你要抓的那一块，别全选，多块同时抓会让计数和 Dashboard 的统计口径混乱。然后在显示设置里把 MAC 地址的显示格式调成你习惯的那种，做实验报告时截图更清楚。最后看一眼 Dashboard 的采样间隔，默认值偏大，做短时实验可以调小一点，不然抓十秒的流量在图上什么都看不出来。

4. 过滤器与缓冲区：把抓到的一堆包收敛成能看的数据

4.1 Address 过滤器：按站点对和方向收敛

混杂模式一开，缓冲区几秒钟就被广播和无关流量灌满，所以过滤器必须在上手第一分钟就配好。Sniffer 的地址过滤器按“站点对”组织，一般提供三组，每组填两个地址（IP 或 MAC 都行），再指定方向：双向、只抓进来、只抓出去。做实验时的常见配置是把被测主机和网关配成一对，方向选双向，这样 TCP 三次握手、请求、响应、四次挥手都在里面，讲协议流程时素材完整。

配地址过滤器有两个细节。一是站点的写法要和你抓包点的位置匹配：如果抓包点在镜像口上，看到的是被镜像端口的原始帧，源和目的 MAC 都是真实主机的，用 MAC 过滤最准；如果抓包点在本机，出方向的帧源 MAC 是本机，进方向的帧目的 MAC 是本机，用 MAC 过滤会漏掉一半，这时候用 IP 更省心。二是三组站点对之间是“或”的关系，可以同时生效，做多主机对比实验时正好把三对都填满。

4.2 Pattern 过滤器：按偏移量匹配报文特征

地址过滤器解决“谁和谁”，模式过滤器解决“什么样的包”。它的原理很简单：从帧的某个偏移位置开始，取若干个字节，和你给的十六进制串做按位比较，掩码里是 FF 的位参与比较、是 00 的位忽略。偏移量从帧头算起，也可以从载荷起点算，具体看界面上的选择项。用它可以只抓 HTTP 的 GET 请求、只抓某个特定端口的 SYN 包、只抓带某个特征字符串的报文。

麻烦的地方在于手算十六进制。我一般先用一段小脚本把要匹配的字符串转成空格分隔的十六进制，再粘到过滤器里，少出错：

# 把要在 Pattern 过滤器里匹配的字符串转成十六进制串 s = "GET /" hex_str = " ".join(f"{b:02X}" for b in s.encode("ascii")) print(hex_str) # 输出：47 45 54 20 2F

encode("ascii")保证按单字节处理，02X保证大写两位、不足补零，和 Sniffer 过滤器里要求的格式一致。粘进去之后掩码全填 FF，表示这几个字节全部参与比较。这里有个坑：偏移量填的是相对位置，不同链路层封装（比如带 VLAN 标签）会让载荷起点整体后移 4 个字节，算出来的偏移就对不上，抓不到任何东西。做 VLAN 环境的实验时，先随便抓一个包，在 Hex 视图里数一下 IP 头实际从第几个字节开始，再回来改偏移。

4.3 缓冲区与切片长度：先想清楚要留多少证据

缓冲区设置决定你能连续抓多久。Sniffer 的捕获缓冲区是在内存里划一块，满了之后有两种处理方式：停止抓包，或者覆盖最旧的帧循环使用。做故障复现类实验，选停止，保证现场不被冲掉；做长时间流量统计，选循环覆盖，反正你要的是 Dashboard 上的利用率和协议分布，不关心具体某一帧。

切片长度（slice size）是另一个容易被忽略的参数，它决定每帧最多保留多少字节。默认可能是完整的 1514 字节，也可能被设成很小的值。设小了内存压力小、能抓更久，但载荷被切掉，Detail 里看得到 TCP 头却看不到应用层内容，做 HTTP 分析时直接翻车。我的习惯是：只做流量统计就切到 128 字节，只看三四层；要看应用层报文内容，一律设成整帧，宁可抓的时间短一点。

5. 避坑与排查：五条现场翻车记录

5.1 抓不到包：从网卡到交换机三层排查

现象：软件启动正常、网卡能选、点了开始，计数几乎不动，偶尔跳几个广播帧。原因：三种可能，按概率从高到低排——混杂模式没生效（装完没重启，或者驱动没绑上）、抓包点在交换机的普通接入口上（看不到别人的流量）、地址过滤器填错了方向或填了不存在的地址。解决：先做本机自检，在本机 ping 一下网关，如果连自己的 ICMP 都抓不到，那是驱动层的问题，回去重启并确认网卡选择；如果本机流量能抓到、别人的抓不到，那就是链路问题，去做端口镜像；如果镜像做了还是没有，检查过滤器——把过滤条件全部清空再抓一次，能抓到就说明是过滤规则写错了，这时候再一条条加回去定位。

现象：网卡列表里空空如也，或者列出来了但选中后报错。原因：32 位驱动在 64 位系统上绑定失败，或者安装时被安全软件拦了驱动注册。解决：换 32 位系统环境做实验；确实要在新系统上跑，装完用前面那条Get-Service命令确认服务是否注册成功，没注册就关掉拦截软件重装一遍，别在软件界面里反复点，那里解决不了驱动问题。

5.2 安装与注册阶段的三个坑

现象：注册页面填完，“下一步”点不动，或者点下去又弹回本页。原因：Email 用了全角＠、缺域名、或者姓名里混进了中文字符。解决：所有字段切成半角英文输入法重填，Email 写成lab@example.com这种最朴素的形式，别用带加号、带中文括号的写法。

现象：安装过程一路顺利，最后提示完成，但重启后主程序打不开或者一闪而过。原因：安装路径被改成了带中文或深层嵌套的目录，老程序在加载自身资源文件时按固定相对路径找，找不到就退出。解决：卸载重装，路径保持默认，别为了“整洁”去改到 D 盘的中文目录下。这类老软件的默认路径是有道理的，它假设自己就在那个位置。

现象：安装到复制文件那一步卡住很久，最后报错退出。原因：安装包所在的目录权限不足，或者磁盘空间不够，也可能是安全软件正在扫描正在写入的驱动文件。解决：把安装包整个目录复制到本地磁盘根目录再运行，确保有足够空间，临时关掉实时扫描，装完再开。

5.3 抓到了但打不开、看不懂

现象：抓包列表里有几千帧，但保存下来的文件只有几 KB，用别的工具打开提示格式不支持。原因：Sniffer 保存的是自有格式，扩展名和通用的抓包文件不一样，内容也不是标准格式。解决：在保存/导出的时候显式选择通用格式（.cap），或者在菜单里找“另存为”，选带标准格式的那一项；直接改扩展名是没用的，文件头不一样。

现象：Detail 里只能看到以太网头和 IP 头，TCP 后面的内容全是空白或者显示不全。原因：切片长度设得太小，载荷在捕获阶段就被截断了，后面再怎么分析也补不回来。解决：改缓冲区设置里的切片长度，设成整帧重新抓一次；已经抓下来的数据没有后悔药，只能重抓。

现象：帧数统计和交换机端口计数差得很远，抓包过程中软件界面卡顿。原因：软件抓包性能到瓶颈了，千兆链路上这种老工具丢帧是常态。解决：把过滤条件前置到镜像配置里，只镜像你要的那部分流量，减少喂给软件的数据量；或者干脆换通用工具做主力，老工具只用来做界面演示。

6. 一次可复现的验证：用 ARP 与 DNS 报文确认混杂模式真的生效

装完了、也配好了，怎么证明混杂模式确实生效，而不是碰巧抓到了几个广播？我的做法是做一次最小验证，分两步走。

6.1 用 ARP 请求做最小验证

准备两台同网段主机，A 是抓包机（或者接在镜像口上的监控机），B 是被观察主机。在 B 上清一下 ARP 缓存再 ping 网关，这会强制发出一个 ARP 请求，源 MAC 是 B、目的 MAC 是全 F 广播。如果在 A 上抓到了这个 ARP 请求，并且在 Decode 视图里能看到 Sender MAC 就是 B 的网卡地址，说明链路侧通了。接着让 B 去 ping 一台同网段的 C，产生的是 B 和 C 之间的单播 ARP 交互。这一步才是关键：如果 A 在混杂模式下能抓到 B 到 C 的单播帧，说明 A 确实收到了不属于自己的流量，混杂模式生效；如果只能看到广播那一条，说明混杂没生效，或者交换机没做镜像。

验证判据摆成一张表更清楚：

6.2 导出、二次校验与长期习惯

抓到之后别急着关软件，先导出一份通用格式的文件，用另一个工具打开，核对帧数和首末帧的时间戳是否一致。两个工具对同一段流量的解码结果如果对不上，多半是切片长度或者链路层封装理解有偏差，这种对照做几次，看报文的速度会明显变快。我还会顺手在实验记录里写清楚三件事：抓包点在哪（本机还是镜像口）、过滤条件是什么、缓冲区多大、切片多长。这三条不写，过一周回来连自己都看不懂当时抓的是什么。

说个教训。早期做这类实验，我总觉得抓到包就万事大吉，从来不看切片长度，结果一份几百兆的捕获文件里所有 HTTP 请求都只剩个 TCP 头，报告写了一半只能推倒重抓。从那以后我每次开抓之前都强制走一遍固定动作：确认抓包点在不在路径上、清空过滤条件试抓十秒看计数、核对切片长度和缓冲满后的处理方式，三步都过了才开始正式抓。多花两分钟，省掉的是整晚的重做。希望帮到你。

本文还有配套的精品资源，点击获取