网络流量捕获

何时使用 / 何时不用

• 用：任何需要拿到网络流量的任务——恶意样本回连观察、固件通信分析、协议逆向的原料获取
• 用：已有 pcap 需要导出/统计/过滤（tshark 环节）
• 用：HTTPS/TLS 通信需要解密看明文（mitmproxy 中间人）
• 不用：流量已解密/无加密且只要协议语义（直接 [[re-proto-rev]]）
• 不用：样本不联网（静态分析先做 [[re-triage]]）
• 不用：只要抓一个包的 quick look（tcpdump -i any -c N 一次搞定，不必搭全流程）

工具准备

所有工具先验证再使用。运行样本抓包默认在沙箱内（[[re-sandbox]] 网络隔离，[[re-analyze/platform-tips]] 最高原则）——捕获环境与隔离环境要同时就绪。

tcpdump —— 命令行抓包主力