Linux Sniffer（例如tcpdump、Wireshark等）的抓包原理主要是依靠网络接口卡（NIC）的混杂模式来实现的。以下为详细的抓包原理：
1. 网络接口卡（NIC）的工作模式
- 常规模式：NIC仅接收那些目标MAC地址与自身MAC地址相匹配的数据包。
- 混杂模式：NIC能够接收所有流经它的数据包，不论其目标MAC地址为何。
2. 开启混杂模式
利用tcpdump或Wireshark时，可通过命令行参数或图形界面开启混杂模式：
- tcpdump：tcpdump -i eth0 -p
- Wireshark：在启动时选择“捕获”选项卡，随后挑选相应的网络接口并激活混杂模式。
3. 数据包捕获流程
-
数据包抵达NIC：
- 当数据包在网络中传输至目标设备时，它首先到达NIC。
-
NIC处理数据包：
- NIC依据设定的模式（常规模式或混杂模式）判断如何处理数据包。
- 在混杂模式下，NIC会把所有经过的数据包送至操作系统的网络栈。
-
操作系统网络栈处理：
- 操作系统的网络栈接收到数据包后，会将其传送给内核中的网络协议栈进行处理。
- 协议栈会解析数据包的头部信息，比如源IP地址、目标IP地址、源端口、目标端口等。
-
传递给抓包工具：
- 解析后的数据包会被传递给抓包工具（如tcpdump或Wireshark）。
- 抓包工具会进一步处理数据包，提取出有用的信息并在用户界面上展示。
4. 数据包过滤与显示
- 过滤：抓包工具通常具备强大的过滤功能，让用户可以根据特定条件（如IP地址、端口号、协议类型等）筛选数据包。
- 显示：筛选后的数据包会在抓包工具的用户界面上显示，用户可查看详细的信息，包括时间戳、源地址、目标地址、协议类型、负载数据等。
5. 性能考量
- CPU使用率：抓包操作会消耗一定的CPU资源，尤其是在处理大量数据包时。
- 内存使用：抓包工具需要存储捕获的数据包，因此会占用一定的内存。
- 磁盘I/O：如果抓包数据量很大，可能需要将数据包写入磁盘，这会增加磁盘I/O负载。
6. 安全性考量
- 权限：启动混杂模式通常需要管理员权限。
- 隐私：抓包操作可能会捕获敏感信息，因此在使用时需要注意保护用户隐私。
借助上述步骤，Linux Sniffer能够有效地捕获和分析网络中的数据包，帮助用户进行网络故障排查、性能分析和安全审计等工作。
