1. 全平台抓包工具的选型逻辑先说清楚一件事没有哪一款抓包软件是“万能神兵”每款工具都有自己的脾气和适用场景。很多人一上来就问我“哪个抓包工具最好用”这就像问“哪把螺丝刀最好用”一样得看你拧的是十字螺丝还是内六角螺丝。抓包这件事本质上是把网卡上流动的数据包拦截下来、解析出来、展示给人看。不同的抓包工具核心差异在于三点支持的协议深度不同。有的只能看HTTP/HTTPS有的能解析TCP/UDP乃至底层帧。工作层级不同。有的工作在网卡层L2/L3有的工作在应用层代理L7。平台覆盖和运行方式不同。有的是纯命令行有的是图形界面有的跨全平台有的只吃Windows。还有一个特别关键的维度免费开源还是商业授权。有些工具挂着“免费版”的旗号实际上高级功能全都锁着有些工具是完全开源但学习曲线陡峭得像悬崖。这篇文章要解决的核心问题就是把“免费”和“全平台”两个条件同时满足的工具筛出来再分场景告诉你该选谁。另外一个大家容易忽略的坑抓包工具本身要能解密HTTPS流量。现在99%的线上流量都是HTTPS加密的如果你用的工具不支持SSL/TLS解密那抓到的全是一堆密文跟看天书一样。所以选型的时候必须把“HTTPS解密能力”放在优先级最前面。2. 免费且跨平台的抓包工具清单真正意义上“免费全平台Windows/macOS/Linux”的抓包工具数量其实没有想象中那么多。我把它们分成三个梯队逐个说清楚优劣和适用场景。2.1 Wireshark全平台抓包的事实标准Wireshark几乎就是“网络抓包”的代名词只要提到抓包工具第一个想到的永远是它。免费、开源、跨三大桌面平台支持超过2000种协议解析这玩意儿在业内的地位相当于手机届的安卓——大家都可以基于它二次开发但原版永远是最稳的。Wireshark的强项是底层协议分析。它工作在网卡驱动层能抓以太网帧、Wi-Fi帧、USB报文、蓝牙HCI报文等等凡是能变成“数据包”的东西它都能碰。这一点是Fiddler、Charles这类应用层代理工具永远做不到的。但Wireshark的门槛也摆在那。第一次打开的同学大概率被那一屏刷得飞快的列表整懵了。满屏的TCP三次握手、TLS握手、DNS查询……需要你先搞懂基础网络分层会写BPF过滤器才玩得转。提示Wireshark是一个“给人看”的协议分析器不是“给人改”的请求调试器。你想拦截请求、篡改报文、重放数据Wireshark不是干这个的你得找代理类工具。2.2 Fiddler EverywhereWeb调试党的跨平台口粮老一批Windows开发者对Fiddler一定不陌生那个经典的Windows-only版本Fiddler Classic是很多人入门抓包的第一课。但随着团队协作和跨平台开发的普及Fiddler官方推出了基于Electron重写的Fiddler Everywhere支持Windows、macOS和LinuxUI也现代化了很多。Fiddler Everywhere本质上是一个HTTP/HTTPS代理。你把它跑起来它在本机监听一个端口默认8866把系统代理指到它身上所有经过浏览器的请求它就都能看到。它能按域名、接口、状态码过滤能看请求头和响应体能篡改请求再重放还能把一组请求保存为集合方便回归测试。免费版能用的核心功能已经覆盖了日常Web开发和API调试尤其适合后端接口联调、前端排查跨域问题、测试同学做接口冒烟验证。不过说实话Fiddler Everywhere在Linux上的稳定性和资源占用表现我只能说“能用但别追求极致体验”。2.3 Reqable国产新秀免费策略最良心如果三年前的你问我“有没有一款工具能替代Charles”我还真答不上来。但这两年Reqable原名为HttpCanary的桌面版延伸确实把“免费跨平台抓包”这个领域搅活了。Reqable支持Windows、macOS、Linux、Android、iOS全平台桌面端免费使用移动端也有免费版本。它的UI设计得比Fiddler Everywhere好看操作的流畅度也明显更跟手。核心能力包括API调试、请求抓包、重写规则、断点调试、脚本处理还内置了OpenAPI导入导出功能——这个组合拳打下来明显是冲着解决“抓包调试一体化”去的。这个工具在重写Rewrite功能上做得尤其顺手。你可以全局配置一条规则把某个域名的响应头里的X-Powered-By删掉把某类请求的返回体统一替换成Mock数据全程不需要写一行代码。对于测试环境造数和联调阶段的数据模拟效率提升非常明显。注意任何代理类抓包工具都只能抓到“走了系统代理”的流量。如果你在Android 7.0以上设备上抓App的HTTPS包目标App没有配置信任用户证书的话即使设置了代理也解不开HTTPS密文。这个坑后面专门讲。3. 按场景细拆不同需求该用哪款工具抓包工具没有绝对的好坏只有“适不适合当前场景”。下面按最常见的四类场景展开每类场景我给出明确的工具推荐和踩坑提醒。3.1 小程序抓包与移动端App调试“小程序抓包工具”在热搜里排得非常靠前说明这是大量前端和测试同学的刚需。微信小程序、支付宝小程序的流量走的是HTTPS而且App端对证书校验的姿势五花八门所以我直接给出结论移动端抓包优先用Reqable的Android/iOS版或PC端配合ProxymanmacOS/Fiddler EverywhereWindows做代理。具体操作链路是这样的电脑上开抓包工具并开启代理手机连同一Wi-Fi并手动设置HTTP代理指向电脑IP之后手机上的所有HTTP/HTTPS流量就会经过电脑。对于小程序场景首次还需要在手机上安装并信任抓包工具生成的CA根证书否则HTTPS内容全是密文。小程序抓包有一个细节很多人不知道微信小程序在Android上对用户证书的信任策略一直在收紧部分机型即使装了证书也解不开密。这种情况下备选方案是用Android模拟器如MuMu、雷电配合代理工具抓包模拟器里的系统证书比较容易处理。用Android 7.0以下的老版本系统环境跑小程序低版本系统会默认信任用户证书。对启用了SSL Pinning的App用Frida做Hook绕过证书校验这个有技术门槛属于进阶玩法。3.2 网课视频抓包与流媒体协议分析“网课视频抓包”是另一个高频热搜词。很多人想把视频课程下载下来离线看就需要抓取视频的播放地址和鉴权参数。但说实话这事儿的难度不在于抓包工具而在于视频地址的动态性和加密策略。网课平台的视频一般走HTTP/HTTPS渐进式下载或HLSHTTP Live Streaming流。HLS流的特点是播放器先拉一个.m3u8的索引文件里面列了一堆.ts分片文件的地址播放器再逐个请求分片。抓这种流常见做法是用Fiddler或Reqable抓到.m3u8请求的完整URL和请求头。分析索引文件里分片地址的生成规律有的直接是明文路径有的是加密的。如果分片地址是加密的、带时效签名的那就要顺着JS逻辑去追签名算法。对于视频分片本身是AES-128加密的情况m3u8文件里会给#EXT-X-KEY标签注明密钥的获取地址顺着密钥地址再抓一次就能拿到解密的Key。这里必须强调一下边界抓包本身是中性技术工具但把抓到的付费视频下载并传播会涉及侵权问题。所以这篇文章只聊技术链路不讨论平台绕过和版权破解。你拿这个技术去分析自家平台的流媒体分发策略、排查播放卡顿问题这才是正道。3.3 蓝牙抓包与USB抓包蓝牙和USB抓包属于Wireshark的主场和前面提到的代理类工具完全不是一个路子。蓝牙抓包分两种方式一种是软件抓包把蓝牙适配器接收到的HCIHost Controller Interface报文直接转储出来Wireshark在Windows上配合微软的BTWBluetooth Windows驱动就能抓到本机蓝牙通信的HCI层数据另一种是硬件探针抓包用Ubertooth One、Teledyne LeCroy等专用硬件去空中抓取2.4GHz频段的蓝牙跳频信号——这种方案能达到的深度和精度是软件方案比不了的但硬件成本也不低。USB抓包就更直接了。Windows上用开源的USBPcap驱动装好之后Wireshark就能看到USB总线的抓包入口Linux上直接用usbmon模块配合Wireshark就能监听USB设备与主机之间的URBUSB Request Block传输。这个对分析USB外设的通信协议、逆向某个USB设备的私有指令非常有用。提示USB抓包在Windows上需要额外安装USBPcap驱动装完以后不用重启Wireshark的“捕获接口”列表里就会多出USBPcap的条目。第一次用USBPcap建议先抓一个鼠标的移动事件练手能看到HID报告描述符那种感觉比抓网络包还上头。3.4 Windows/macOS/Linux桌面端的通用HTTP调试对于纯桌面Web开发和接口调试Windows用户选Fiddler EverywheremacOS用户选Proxyman免费版够用需要“抓包重写”可以直接用Reqable替代Linux用户最稳妥的选择是Wireshark做底层分析Reqable做HTTP调试。这里额外说一个工具mitmproxy。它是一个开源、跨平台、纯命令行的HTTP代理支持Python脚本插件。如果你有自动化测试的诉求比如跑完一组用例自动导出抓包结果mitmproxy几乎是最佳选择。它的免费力度比任何商业工具都彻底而且可编程性极强——你可以写一个Python脚本实时修改响应体、注入请求、做自动化断言完全不需要人工干预。缺点是操作门槛高因为它默认没有图形界面虽然也有mitmweb这个Web界面版。4. 实操从零搭起一套HTTPS抓包环境光说不练假把式这一节我拿最常见的场景——Windows上用Wireshark抓HTTPS流量并解密——完整走一遍流程。之所以选这个组合是因为Wireshark是公认最通用的全平台抓包工具而HTTPS解密选项很多工具都有但Wireshark的做法最标准、也最值得讲清楚原理。4.1 用Wireshark抓HTTPS包并解密TLS流量TLS解密的原理先说透。浏览器和服务器建立HTTPS连接时双方会协商一套会话密钥Session Key之后每个数据包里的Application Data都用这把密钥进行对称加密。Wireshark想要解密这些数据就得拿到这把会话密钥。浏览器怎么告诉Wireshark这把密钥答案是通过环境变量SSLKEYLOGFILE。Chrome和Firefox都支持这样一个特性——设置环境变量SSLKEYLOGFILE指向一个文件路径后浏览器每次建立TLS连接就会把会话密钥以文本形式写入这个文件。Wireshark读取这个文件就能把对应连接的密文解开。具体操作步骤如下在系统环境变量里新建一个SSLKEYLOGFILE比如指向D:\sslkeylog.log。Windows路径设置 - 系统 - 关于 - 高级系统设置 - 环境变量 - 新建。启动Wireshark需要先装好WinPcap/Npcap驱动选择当前正在上网的网卡一般是“以太网”或“WLAN”双击开始抓包。打开Wireshark的“首选项 - Protocols - TLS”在“(Pre)-Master-Secret log filename”里填入D:\sslkeylog.log。用Chrome访问一个HTTPS网站比如打开一个百度搜索页面回到Wireshark在过滤器里输入http2或tls就能看到一大堆条目。点击任意一条TLS记录展开“Decrypted TLS”区域Wireshark 4.x版本会把解密后的数据直接标记为http2或http就能看到明文请求头、响应体和完整的HTTP消息。这套流程跑通以后你对HTTPS的信任度会提升一个档次——原来所谓的“加密”在拿到了会话密钥的前提下一切都看得清清楚楚。4.2 用Fiddler Everywhere配置HTTPS解密代理类工具的HTTPS解密思路完全不一样它给系统装一个自己的CA根证书然后动态生成每个域名的SSL证书浏览器访问时校验这个证书因为根证书被系统信任了所以校验通过。这样代理工具就在中间“听”到了明文内容再重新加密转发给真正的服务器。Fiddler Everywhere开启HTTPS解密的入口非常浅主界面 - Settings - HTTPS - 开启“Capture HTTPS traffic”开关按提示安装并信任根证书即可。这个开关打开以后不需要配置SSLKEYLOGFILE也不用指定密钥文件浏览器、微信开发者工具、各类桌面客户端的HTTPS请求就能在Fiddler里以明文形式看到。有一点必须强调安装根证书这个动作要谨慎。抓包工具的根证书一旦被系统信任就意味着它能解密这台机器上所有信任该CA的HTTPS流量——虽然你是给自己用的但万一电脑中木马木马上来直接利用这个证书做中间人风险就大了。所以正规做法是临时调试时安装证书调试完在系统证书管理里删掉。我见过很多同事的电脑里常年挂着一堆Charles和Fiddler的证书这实在不是个好习惯。4.3 用tcpdump命令行抓包另一种常见场景是Linux服务器上没有图形环境只能用命令行。tcpdump是Linux下最经典、最轻量的抓包命令几乎所有发行版都自带或可以通过一行命令安装。最常用的几个姿势# 抓取指定网卡如eth0上的所有流量并输出到文件 sudo tcpdump -i eth0 -w capture.pcap # 抓取指定端口的HTTP流量80端口 sudo tcpdump -i eth0 port 80 -A # 抓取指定主机的所有通信 sudo tcpdump -i eth0 host 192.168.1.100 -w host.pcap # 抓取并过滤ICMP防止屏幕被刷爆 sudo tcpdump -i eth0 icmp -n-w参数把数据写成pcap文件之后把pcap文件拷到本地用Wireshark打开就能用图形界面分析。这个组合拳是运维同学排查网络问题的基础技能。tcpdump的缺点很明显不会自动解密HTTPS也不支持复杂的可视化。但服务器出问题时它是最快、最轻、最不依赖任何GUI的急救工具。5. 常见抓包问题速查表与排查实录下面把我在实际使用中踩过的高频坑整理成速查表。每一行都是实打实的“事故现场”照着排查能省下大量时间。典型问题可能原因解决方案Wireshark只能抓到自己的收发流量看不到其他设备Wireshark默认只监听本机未开混杂模式在捕获选项里勾选“混杂模式Promiscuous Mode”用Fiddler/Reqable抓不到小程序的请求小程序可能走的不是系统代理或App校验了证书确认代理端口、检查App是否配置了免代理或改用模拟器方案证书安装后HTTPS内容仍是密文手机或App不信任用户CA证书Android 7及以上需用networkSecurityConfig信任用户证书或走系统证书方案Fiddler抓取时浏览器提示“您的连接不是私密连接”根证书未正确安装或证书被系统吊销重新安装并信任证书重启浏览器tcpdump抓出来的文件在Wireshark里打不开版本不兼容或者文件损坏用file命令检查pcap文件类型确认版本考虑用tcpdump -w时指定-U参数Wireshark看不到HTTP请求全是TCP乱序/重传过滤条件写得不对或者网卡负载过高丢包用http2或http.host contains example.com精确过滤蓝牙抓包看不到HCI事件系统蓝牙驱动限制Windows下确认BTW驱动开启Linux下确认bluetooth-mesh模块加载USB抓包列表为空USBPcap未安装或权限不足Windows用管理员身份运行WiresharkLinux用sudo5.1 案例Windows上用MuMu模拟器抓小程序包这个案例很有代表性因为很多教程讲模拟器抓包只写“设置代理、装证书”八个字但实际操作中总会出幺蛾子。我的操作链路是这样的本机装好Reqable/Fiddler开启代理记下端口假设是8866。MuMu模拟器设置里把网络代理设为“手动”填入主机IP就是PC的局域网IP不是127.0.0.1和8866端口。模拟器浏览器访问http://192.168.x.x:8866下载证书Reqable支持直接扫码安装安装并信任。在模拟器里打开微信小程序这时PC抓包工具里会疯狂弹出HTTPS请求。但第4步经常出现“能刷出TCP连接但看不到HTTPS明文”的情况。原因是MuMu模拟器的Android版本通常是7.0以上而微信小程序的WebView默认不信任用户CA证书。解法有两条路走测试包。如果小程序是自家公司的测试版本可以在AndroidManifest里配置networkSecurityConfig允许调试时信任用户证书——但这需要开发配合。走系统证书路径。把根证书转成.0格式放到系统证书目录/system/etc/security/cacerts/这需要模拟器开启root权限。MuMu模拟器有root开关开启后用adb push把证书放进去重启模拟器即可。这个案例想传达一个核心认知很多“抓不到包”的问题不是工具不行而是Android系统的证书信任机制卡住了你。理解了这个机制换什么工具都一样能抓。5.2 案例手机连代理后彻底上不了网这是更基础但也更让人抓狂的问题。手机设置了HTTP代理后连百度都打不开但PC上一切正常。排查思路开头三步走确认代理IP和端口是否写对了。IP要写电脑在局域网里的实际IP用ipconfig查不是电脑的主机名。确认电脑防火墙是否放行了代理工具的端口。Windows防火墙经常默认拦掉非白名单端口手机连不上基本就是这个原因。在防火墙高级设置里入站规则加一条放行TCP 8866端口具体端口看你抓包工具。确认代理工具是否开启了“允许远程连接”或类似选项。Fiddler Everywhere默认只监听127.0.0.1手机想连必须开“Allow remote devices to connect”Reqable也在设置里有“允许外部设备连接”的开关。这三步里防火墙问题是出现频率最高的很多人折腾半天最后发现是杀毒软件的防火墙静默拦截了。6. 我的选型建议与工具链组合聊了这么多工具最后给一套我自己的工具链组合方案。这不是说“这样选才对”而是基于我自己的使用习惯和踩坑经验给新入门的同学一个不绕弯子的起点。日常主力配置是桌面端HTTP调试选Reqable底层协议分析选Wireshark自动化抓包选mitmproxy服务器排查选tcpdump。这套组合的优点是免费、开源、全平台覆盖而且从应用到内核的层级都能打到不会出现“只会抓HTTP、网络层一窍不通”的偏科情况。如果你的工作只涉及Web开发和接口调试那真的不用学WiresharkFiddler Everywhere或Reqable一个工具就够。反过来你是做网络运维或安全分析的那Wireshark和tcpdump要玩得滚瓜烂熟代理类工具反而只能算辅助。移动端抓包那块我的经验是不要迷信某个App神器。App端的抓包工具如Reqable安卓版、PC版配代理方案本质都是做代理真正决定成败的是证书处理和App的SSL Pinning策略。所以移动抓包的核心能力与其说是会用某个工具不如说是理解TLS证书信任链路。最后说一个容易被人忽视的点抓包工具本身也会成为性能瓶颈。代理类工具在吞吐量大的情况下处理不过来就会丢包导致你误判“接口超时了”。实测中我发现Fiddler Classic处理大文件下载时明显拖慢网速Reqable和Charles在内存占用方面相对克制Wireshark几乎不影响转发性能因为它是旁路监听。抓大流量、压测场景下记得先用Wireshark旁路抓包确认问题再决定要不要开代理。