企业官网建设流程全解析

简介：《sniffer抓包实验教程》面向网络管理员、开发者和测试工程师等需要掌握网络流量分析技能的读者，围绕 Sniffer 抓包工具的安装、配置与基础使用展开，可帮助初学者理解网卡混杂模式监听、数据包截获与协议分析的基本原理。压缩包内共1个doc文档，大小约411KB，内容以图文步骤串联安装目录选择、注册码填写、网络连接方式配置等关键环节，并延伸到故障排除、性能优化与安全测试等应用场景。已有926人学习，说明该教程在入门抓包实验方面具有一定参考价值。读者可从中获得工具安装排错思路、数据包捕获与过滤分析的操作脉络，以及常见问题（如无法捕获数据包、无法联网）的检查方向，适合作为网络协议学习与实验课配套材料。

1. 从一次抓不到包的实验说起：Sniffer Pro 装在哪台机器上

上周有人照着 sniffer 抓包实验教程复现，机器是台新配的笔记本，安装程序一路 next 都没报错，可 Sniffer Pro 打开后网卡列表是空的，折腾一晚上以为是安装包坏了。问题不在安装包——这类老式抓包工具要在驱动层把网卡切成混杂模式，64 位系统、精简版驱动、虚拟机默认网卡，任何一环不对，装得再顺也只是个打不开的壳子。这套环境在网络实验课和企业内网排查里出现频率极高，装它的人一半时间花在装，一半时间花在排查为什么抓不到包。这篇笔记按我实际的装机顺序走：先盘环境，再走安装，最后落到怎么确认混杂模式真的开了，适合第一次装 Sniffer Pro 做实验的人，也适合装过但一直抓不到包的人。

2. 装前环境盘点：Sniffer Pro 的 32 位系统、网卡与磁盘三件套

Sniffer 的工作方式决定了它对环境比一般软件挑剔得多。它把网络适配卡（NIC）置为杂乱模式，网卡收到所有经过它的帧都往上层送，不再只挑目的地址是自己的那些。这种能力靠的是网卡驱动里的一段过滤逻辑，所以 Sniffer 装不装得上、抓不抓得到，一大半取决于网卡和驱动，而不是安装程序本身。装前这一步花二十分钟，后面能省掉一晚上的返工。

2.1 安装包形态判断与目录规划

这套安装包流传的形态基本固定：一个 setup.exe 加一组数据文件，属于老式 InstallShield 打包，安装过程是解压、复制、注册驱动、写注册表。拿到手先别急着双击，按下面两条走一遍。

:: 1) 校验安装包完整性，先看 SHA1 和文件大小，和提供方给的数值比对 certutil -hashfile SnifferSetup.exe SHA1 :: 2) 检查系统盘剩余空间，老机器上留 2GB 是底线 fsutil volume diskfree C:

certutil -hashfile后面跟文件名和算法，算出来是一串十六进制，和来源给的校验值对不上就说明文件下了一半或者被改动过，这种包双击也会解压失败，浪费的是排查时间。fsutil volume diskfree输出的是字节数，除以 1024 三次就是 GB，装完程序本身占不了多少，但抓包文件缓存和系统临时文件会额外吃空间，别把盘塞满再装。

目录规划上我的做法是保持默认，装到c:\program files\nai\snifferNT。原文也建议用默认路径，理由不是偷懒：老程序会把路径写进注册表、快捷方式和驱动安装信息里，改成D:\工具\抓包这类带中文的路径，安装后期复制驱动文件时容易出问题，界面上的中文也可能变成方块。如果 C 盘确实紧张，改路径也只改盘符，后面的\nai\snifferNT结构别动。

2.2 系统位数、网卡驱动与虚拟机配置

位数是第一个硬门槛。这套程序是 32 位时代的东西，在 64 位 Windows 上，安装程序主体有可能跑起来，但网卡绑定和协议驱动这一环大概率失败，表现就是装完了、能打开、网卡列表里只有一条 Loopback。稳妥做法是准备一个 32 位系统环境，虚拟机里装最省事。

我给虚拟机定的配置大致是这样：

网卡这块多说一句血泪经验：无线网卡在混杂模式下通常只能收到自己的流量，因为无线链路的帧过滤发生在接入点和网卡固件里，驱动能做的有限。做抓包实验一定用有线网卡，虚拟机桥接到有线网口上。另外交换机每个端口是独立冲突域，A 机器和 B 机器之间的单播流量不会送到 C 机器的端口上，除非端口做了镜像。这意味着你在 C 上抓包，能看到广播、组播和 C 自己的流量，看不到 A 和 B 的私聊，这不是装错了。

宿主侧可以用下面两条命令先确认基础条件，Get-NetAdapter需要较新的系统，老系统上用ipconfig /all代替。

# 确认系统版本与位数，安装包只认 32 位环境 Get-CimInstance Win32_OperatingSystem | Select-Object Caption, OSArchitecture, Version # 列出所有网卡，确认抓包用的那块型号被系统正确识别 Get-NetAdapter | Select-Object Name, InterfaceDescription, Status, LinkSpeed

第一行输出里的OSArchitecture就是判断依据，看到 64 位就别在物理机上硬装了。第二行的InterfaceDescription是网卡型号描述，这个字符串后面在 Sniffer 的网卡选择界面里会再出现一次，两边对得上才说明驱动层是通的；Status是 Up 才算正常。

2.3 装前十分钟：我做的那份检查清单

装机前我习惯照着清单过一遍，比装到一半发现不对再回退省事得多。

提示：虚拟机快照这一步别省。这类老软件一旦装到一半失败，注册表和驱动都会留下残渣，重新装会在同一个地方再报一次错，回滚快照是成本最低的后悔药。

清单里最容易糊弄过去的是网卡那一项。设备管理器里网卡没有黄色感叹号，只代表驱动加载了，不代表它能进混杂模式。真正验证要等装完，用一个可控的 ping 流量对一下计数，这个放在最后一章讲。

3. 安装全流程：从 setup.exe 到 setup complete 的六个界面

整个安装过程是常规下一步式，没有隐藏步骤，但有几个输入框和选项必须按规则填，填错会在很靠后的位置才报错。下面按界面顺序走一遍，每个界面说清楚填什么、为什么这么填。

3.1 启动安装程序与安装目录：为什么保持 c:\program files\nai\snifferNT

双击 setup.exe 之后，前面几个界面是欢迎页和许可协议，一路同意即可。到选择安装目录这一步会看到一个默认路径c:\program files\nai\snifferNT，旁边有 Browse 按钮可以改。我的建议是保持默认，理由在上一章说过，这里只补一个操作细节：如果你之前装过一次失败了，重装前先把残留目录和注册表项清掉，不然安装程序会认为已安装，直接跳到修复或者卸载流程。

:: 装之前先看看有没有残留的老版本目录和注册表项，避免叠加安装 dir "C:\Program Files\nai" reg query "HKLM\SOFTWARE\NAI" /s

dir那条如果提示找不到文件，说明目录干净，可以正常装。reg query加/s是递归列出整个子树，会输出不少内容，重点看有没有和 Sniffer 相关的安装路径键值。有残留就删目录，注册表项用reg delete "HKLM\SOFTWARE\NAI" /f清掉再装；不确定要不要删的时候，先导出备份一次，reg export存成 .reg 文件，出问题双击就能还原。

注意：注册表操作别凭记忆删。清之前按上面的方式导出备份，尤其是这台机器上还装了别的网络工具时，同一个大类下面可能挂着别的东西。

3.2 注册信息填写：Email 的 @ 与 Serial Number 那串码

过了目录选择，会进到用户注册信息界面，再往后是Sniffer Pro Usr Registration对话框。这一页全是必填框，但绝大多数可以随手填，只有两个字段有格式要求。

序列号这串码原文给的是SA154-2558Y-255T9-2LASH，抄的时候最容易犯的错是从网页上复制带上了首尾空格，或者把中间的0和O、1和I看混。序列号里出现的是数字2558、255、2，字母只有SA、Y、T、L、ASH这一段，对照着核一遍再点下一步。填错的后果是安装能走完但启动时提示未授权，或者干脆在注册页原地报错，两种都挺折腾。

提示：所有输入框建议全程用英文输入法，中文输入法在部分老安装程序里会把全角字符写进配置，界面上显示成方块，看着像装坏了，其实是字符集问题。

3.3 网络接入方式选择与文件复制

注册完就来到网络连接方式选择页。这一页给几个选项，第一项是企业内网直接接入，安装程序用它来决定软件以后联网取组件时的走法。实验室机器多半出不了外网，选第一项就行，即使网络环境是统一出口，这一项选对选错也只是在线组件拿不到，本地抓包一点不受影响。

再往后就是真正的复制阶段，进度条会走几分钟，把必需文件写到本地硬盘。这一段没什么可配的，但有两点要留意：一是别在复制过程中点取消或者关窗口，老式安装程序中断后清理不干净；二是如果进度条长时间不动，先看硬盘灯和任务管理器里安装进程的 CPU 占用，进程有活动就再等等，完全静止超过几分钟再考虑强制结束。

复制结束会出现setup complete提示，点 finish。到这一步程序文件已经落盘，但还不能用，因为网卡的混杂模式切换需要重新加载驱动，安装程序自己也知道这一点，所以紧接着会提示重启。

3.4 重启收尾：混杂模式为什么要等一次重启

重启不是一个可跳过的仪式。Sniffer 在安装阶段往系统里注册了抓包用的驱动组件，这个组件要挂在网卡驱动栈上，而网卡驱动栈在系统启动时加载，运行中注册新组件只能等下次启动生效。不重启直接打开程序，最常见的表现是网卡能选、点开始抓包计数器不动，或者干脆报一个绑定失败。

重启前把该存的东西存了，然后老老实实重启一次。重启后第一次打开 Sniffer，如果它还要做一次初始化配置，按默认走完即可。到这一步，程序装完了，接下来是让它真的能抓到包。

4. 装完必须配的四项：网卡绑定、混杂模式与抓包过滤器

安装只解决了「程序在不在」，配置解决「能不能抓到、抓到的有没有用」。这一章四项，前三项是必须做的，最后一项是效率问题。

4.1 在 Settings 里绑定抓包网卡

第一次启动 Sniffer，它会让你选一个抓包用的网卡，界面里叫 Agent 或者适配器选择。选错网卡的后果很隐蔽：程序正常跑，计数正常涨，但抓到的全是你不想看的流量。

选择依据有三条：一是有 IP 地址并且状态是 Up 的那块，二是型号和你在宿主侧用Get-NetAdapter看到的InterfaceDescription一致，三是不要选 Loopback 回环适配器。虚拟机里如果同时挂了桥接网卡和仅主机网卡，选桥接那块，只有它在真实网段上。

绑定之后建议立刻确认一次状态栏，正常情况下会显示网卡名、链路速率和当前是否处于混杂模式。如果状态栏显示的是半双工或者速率明显不对，回去查虚拟网卡的链路协商，别在这个状态下继续做实验，抓出来的时序全是错的。

4.2 混杂模式的开关与一次小验证

绑定网卡时混杂模式默认是开的，这也是 Sniffer 这类工具和普通 socket 抓包的根本区别。但「默认开」不等于「真的开了」，网卡驱动、虚拟化层、操作系统策略任何一环都可能把它关掉。

我一般的验证办法是造一段可控流量，然后看计数。在抓包机上另开一个命令行窗口，向同网段一台能 ping 通的机器打固定数量的包。

:: 打 20 个包，方便和抓包计数对上数 ping -n 20 192.168.1.1 :: 顺便看一眼本机 ARP 缓存，确认同网段有哪些活动主机 arp -a

ping -n 20里的-n是指发送次数，默认是 4 次，改成 20 次是为了让计数变化明显一点，好和 Sniffer 里看到的包数对得上。arp -a列出的是本机 ARP 缓存表，能看到同网段近期通信过的主机 IP 和 MAC，做实验时从这里面挑一台当目标，比随手 ping 网关更有针对性。

抓包窗口里启动捕获，再执行上面的 ping，然后停止。正常情况下捕获计数会明显增长，展开看到的包里应该包含 ICMP 的请求和应答。如果你只看到自己发出的包、看不到对方的应答，说明混杂模式没生效或者链路上有过滤，回到 2.2 节查网卡类型。

4.3 抓包过滤器：先收窄，再抓全

新手常见的误用是一上来就全量抓，缓冲区几分钟就满，停下来一看几万个包，全是广播和后台更新，想找的那条 TCP 会话翻半天。正确顺序是先设过滤，再抓。

Sniffer 的过滤器在捕获菜单下的 Define Filter 里，图形化配置，大致分三块：

Address 页里可以选一对站点，或者只填一个方向。做「抓某台机器和网关之间通信」这类实验时，把两端 IP 都填上，能砍掉九成无关流量。Advanced 页是按协议勾选，做 ARP 实验就只留 ARP，做 TCP 三次握手就只留 IP 和 TCP，别嫌麻烦，这一步省下的分析时间比配置时间多得多。

缓冲区在程序设置里，老机器给 8MB 到 16MB 足够，别一上来拉满。缓冲区满了以后新包会覆盖旧包，你以为抓了十分钟，实际只留下最后几十秒，这个坑在排查偶发故障时特别致命。

4.4 缓冲区与抓包文件落盘

抓完的包要及时存。存的时候选通用抓包文件格式，后缀一般是 .cap，这样即使本机没装分析工具，把文件拷到别的机器上也能打开复核。存之前先停止捕获，再执行保存，运行中保存有可能只写进去一半。

保存路径别放在系统盘根目录或者中文目录下，和安装目录同一个道理。我习惯按日期和实验内容建目录，文件名带上协议和主机号，比如arp-192-168-1-10.cap，过一周再回来看还能一眼认出是什么。

5. 排查清单：装了却抓不到包的五个现场

这一章是踩坑记录，每条按现象、原因、解决三段写。五个现场覆盖了安装期和运行期最常见的问题。

5.1 网卡列表空白，只有 Loopback 一条

现象：程序能启动，选择网卡的界面里除了一条回环适配器，什么都没有，或者列表是灰的。

原因：驱动层没绑定成功。常见于 64 位系统上装这套 32 位程序，或者网卡型号太新、安装包里没有对应的驱动描述文件。虚拟机里用了半虚拟化网卡（不是 Intel PRO/1000 或 AMD PCnet 这类标准型号）也会这样，系统里网卡工作正常，但 Sniffer 认不出来。

解决：先确认系统位数，不是 32 位就换环境，这是最根本的一条。环境没问题就换虚拟网卡类型，改成 Intel PRO/1000 系列，重启后再看列表。物理机上遇到这种情况，去设备管理器把网卡驱动换成厂商提供的通用版本，别用系统自带精简驱动。

5.2 计数在涨，但包里只有本机流量

现象：抓包看着正常，计数一直涨，展开一看全是自己的请求和广播，看不到同网段其他机器的通信。

原因：混杂模式没生效，或者链路上根本不给你送这些帧。前者是驱动或虚拟机层的问题，后者是网络结构问题——交换机每个端口独立，别的两台机器之间的单播不会送到你这个端口。

解决：先排除混杂模式，按 4.2 节做一次 ping 对照，能看到对方应答就说明混杂模式是开的，问题在网络侧。这时候要么抓广播和组播流量做实验，要么让网管配一个端口镜像，把要观察的流量引到你这一口。别在这上面死磕，误以为是装坏了。

5.3 安装到复制文件阶段报错回滚

现象：前面几步都过了，复制进度条走到一半弹出错误框，然后自动回滚，提示安装未完成。

原因：按出现频率排，一是权限不足，用受限账户装的；二是杀毒软件或安全软件拦截了驱动文件写入；三是目标路径有中文或特殊字符；四是磁盘空间不足或安装包本身不完整。

解决：用管理员账户重装，装之前临时关掉安全软件的实时防护，路径改回默认的c:\program files\nai\snifferNT，再用 2.1 节的certutil校验一次安装包。四项都排除了还报错，去系统事件查看器里看应用程序日志，报错时间点附近会有安装程序的详细记录，那里面通常直接写了哪个文件写失败，比错误框有用得多。

5.4 重启后蓝屏或网卡出现黄色感叹号

现象：装完重启，系统起不来或者起来后网卡设备带感叹号，网络全断。

原因：驱动冲突。抓包驱动挂在网卡驱动栈上，如果系统里同时存在其他网络过滤驱动，或者网卡驱动版本太新，注册顺序会打架。

解决：虚拟机直接回滚快照，这是最快的路。物理机上进安全模式，设备管理器里卸载网卡驱动并勾选删除驱动文件，重启让系统重新识别，再决定要不要继续装。同一台机器上不建议同时装多个抓包工具的驱动层组件，冲突概率很高，用完一个卸一个。

5.5 序列号填了提示无效，或者界面字符变成方块

现象：注册页填完点下一步，提示序列号无效；或者界面上的文字显示成方块、问号。

原因：序列号无效多半是复制时带了空格，或者字符看混了。方块字是字符集问题，安装程序按本地代码页渲染，中文输入法写进去的全角字符会显示异常。

解决：序列号手动敲一遍，对照SA154-2558Y-255T9-2LASH逐段核，敲完把光标移到末尾确认没有多余空格。字符显示问题切英文输入法重填所有字段，已经装完的可以不改，不影响功能，只是看着别扭。

6. 验证跑通：三个动作确认混杂模式真的生效

装完不算完，得有一个明确的通过标准。我不看程序有没有报错，只看三个动作的结果。

第一个动作，确认网卡绑定正确。打开程序，看状态栏里的网卡名和链路速率，和你宿主侧看到的型号对得上，速率显示正常。

:: 抓包机上执行，确认本机地址和同网段活动主机 ipconfig /all arp -a

ipconfig /all重点看抓包那块网卡的 IP、掩码和网关，确认它在你要观察的网段里。arp -a给出同网段的活动主机，挑一台当实验目标。

第二个动作，用可控流量验证计数。另开窗口执行ping -n 20 <目标IP>，同时启动捕获。停止后对照结果：

第三个动作，抓一次不是发给自己的流量。在能 ping 通的两台同网段机器之间互 ping，你在第三台机器上抓，如果能看到它们的 ARP 广播，说明混杂模式和链路都正常；如果只看到自己的，回到 5.2 节按链路结构去判断，不要再去动安装。

这三个动作走完，环境就算跑通了。从那以后我每次装这类带驱动层的老工具，都强制走一遍「快照、装、ping 对照、存盘回读」这套流程，不管多熟都不跳步——跳过的那次往往就是抓了三小时包、最后发现混杂模式根本没开的那次。希望帮到你。

本文还有配套的精品资源，点击获取