使用MAC进行抓包操作：HTTPS协议下的网络监控与数据分析
一、引言
随着互联网技术的飞速发展，网络安全问题日益受到关注。
网络监控与数据分析是保障网络安全的重要手段之一。
在网络安全领域，抓包操作是一种常见的网络监控技术，它可以帮助我们捕获并分析网络传输中的数据。
本文将以MAC（Macintosh）操作系统为例，介绍如何使用MAC进行抓包操作，以及如何在HTTPS协议下进行网络监控与数据分析。
二、抓包操作基础知识
抓包，即捕获网络数据包，是一种通过网络监控工具获取网络传输数据的方式。
在MAC操作系统中，常用的抓包工具包括Wireshark、Charles等。
这些工具可以帮助我们捕获并分析网络中的数据流量，从而了解网络的工作状态、识别潜在的安全风险。
三、使用MAC进行抓包操作
1. 选择合适的抓包工具
在MAC上，我们可以选择Wireshark或Charles等工具进行抓包操作。
这些工具都具备强大的功能，可以方便地捕获并分析网络数据包。
2. 安装与配置抓包工具
根据所选工具，按照官方提供的安装指南进行安装与配置。
一般来说，安装过程相对简单，只需要按照提示进行操作即可。
3. 捕获数据包
启动抓包工具后，我们可以开始捕获数据包。
在MAC上，我们可以通过选择网络接口来捕获指定网络的数据包。
例如，如果我们想捕获WiFi网络的数据包，可以选择相应的WiFi接口进行捕获。
四、HTTPS协议下的网络监控与数据分析
1. HTTPS协议简介
HTTPS是一种通过SSL/TLS加密传输的HTTP协议，它在网络传输过程中对数据进行加密，从而保护数据的安全。
在抓包过程中，我们需要对HTTPS协议的数据包进行解密，以便进行分析。
2. 数据包分析
在抓包过程中，我们可以使用抓包工具对捕获的数据包进行分析。
通过分析数据包，我们可以了解网络的工作状态、识别异常流量等。
对于HTTPS协议的数据包，我们需要关注加密数据、证书信息、握手过程等关键信息。
3. 数据包解密
由于HTTPS协议使用了加密技术，我们需要对捕获的数据包进行解密才能进行分析。
在MAC上，我们可以使用SSL decoding插件等工具对HTTPS协议的数据包进行解密。
这些工具可以帮助我们分析加密数据、证书信息等关键信息，从而了解网络传输的内容。
4. 数据分析与监控策略
通过对捕获的数据包进行分析，我们可以识别潜在的安全风险，如异常流量、恶意攻击等。
针对这些风险，我们可以制定相应的监控策略，如设置流量阈值、过滤特定关键词等。
我们还可以根据数据分析结果调整网络安全策略，以提高网络的安全性。
五、注意事项
1. 合法合规：在进行抓包操作时，需要遵守相关法律法规，确保操作合法合规。
2. 保护隐私：在进行网络监控与数据分析时，需要尊重用户隐私，避免泄露用户信息。
3. 数据分析技能：掌握数据分析技能是进行网络监控与数据分析的关键，需要不断学习和实践。
六、总结
本文介绍了使用MAC进行抓包操作的方法，以及如何在HTTPS协议下进行网络监控与数据分析。
通过抓包操作和网络监控与数据分析，我们可以了解网络的工作状态、识别潜在的安全风险，保障网络安全。
在实际应用中，我们需要遵守相关法律法规、尊重用户隐私，并不断提高数据分析技能。
如何用charles进行https抓包
1、给mac安装证书。
打开charles，在menu选择ssl proxying > install charles root certificate，keychain access（钥匙访问串）被打开，我们可以看到charles certificate已经被安装， 2、信任证书 但此时该证书并没有被信任，双击该行弹出证书详情，选择“always trust”。
3、给手机安装证书 打开charles，在menu选择ssl proxying > install charles root certificate on a mobile device or remote browser，弹出提示框
怎么用抓包技术刷东西？求教 谢谢
展开全部方法：1．安装抓包工具。
目的就是用它分析网络数据包的内容。
找一个免费的或者试用版的抓包工具并不难。
我使用了一种叫做SpyNet3.12 的抓包工具，非常小巧, 运行的速度也很快。
安装完毕后我们就有了一台抓包主机。
你可以通过SpyNet设置抓包的类型，比如是要捕获IP包还是ARP包，还可以根据目的地址的不同，设置更详细的过滤参数。
2．配置网络路由。
你的路由器有缺省网关吗？如果有，指向了哪里？在病毒爆发的时候把缺省网关指向另外一台路由器是很危险的（除非你想搞瘫这台路由器）。
在一些企业网里往往仅指出网内地址段的路由，而不加缺省路由，那么就把缺省路由指到抓包主机上吧（它不下地狱谁下地狱？当然这台主机的性能最好是高一点的，否则很容易被病毒冲击而亡）。
这样可以让那些病毒主机发出的绝大部分扫描都自动送上门来。
或者把网络的出口映像到抓包主机上，所有对外访问的网络包都会被分析到。
3．开始抓包。
抓包主机已经设置好了，网络里的数据包也已经送过来了，那么我们看看网络里传输的到底是些什么。
打开SpyNet 点击Capture 你会看到好多的数据显示出来，这些就是被捕获的数据包。
图中的主体窗口里显示了抓包的情况。
列出了抓到数据包的序号、时间、源目的MAC地址、源目的IP地址、协议类型、源目的端口号等内容。
很容易看出IP地址为10.32.20.71的主机在极短的时间内向大量的不同主机发出了访问请求，并且目的端口都是445。
4.找出染毒主机。
从抓包的情况看，主机10.32.20.71值得怀疑。
首先我们看一下目的IP地址，这些地址我们网络里存在吗？很可能网络里根本就没有这些网段。
其次，正常情况下访问主机有可能在这么短的时间里发起这么多的访问请求吗？在毫秒级的时间内发出几十甚至几百个连接请求，正常吗？显然这台10.32.20.71的主机肯定有问题。
再了解一下Microsoft-DS协议，该协议存在拒绝服务攻击的漏洞，连接端口是445，从而进一步证实了我们的判断。
这样我们就很容易地找到了染毒主机的IP地址。
剩下的工作就是给该主机操作系统打补丁杀病毒了。
如何通过wireshark进行抓包的分析
启动wireshark后，选择工具栏中的快捷键（红色标记的按钮）即可Start a new live capture。
主界面上也有一个interface list（如下图红色标记1），列出了系统中安装的网卡，选择其中一个可以接收数据的的网卡也可以开始抓包。
在启动时候也许会遇到这样的问题：弹出一个对话框说 NPF driver 没有启动，无法抓包。
在win7或Vista下找到C: \system\system32下的 以管理员身份运行，然后输入 net start npf，启动NPf服务。
重新启动wireshark就可以抓包了。
抓包之前也可以做一些设置，如上红色图标记2，点击后进入设置对话框，具体设置如下：Interface：指定在哪个接口（网卡）上抓包（系统会自动选择一块网卡）。
Limit each packet：限制每个包的大小，缺省情况不限制。
Capture packets in promiscuous mode：是否打开混杂模式。
如果打开，抓 取所有的数据包。
一般情况下只需要监听本机收到或者发出的包，因此应该关闭这个选项。
Filter：过滤器。
只抓取满足过滤规则的包。
File：可输入文件名称将抓到的包写到指定的文件中。
Use ring buffer： 是否使用循环缓冲。
缺省情况下不使用，即一直抓包。
循环缓冲只有在写文件的时候才有效。
如果使用了循环缓冲，还需要设置文件的数目，文件多大时回卷。
Update list of packets in real time：如果复选框被选中，可以使每个数据包在被截获时就实时显示出来，而不是在嗅探过程结束之后才显示所有截获的数据包。
单击“OK”按钮开始抓包，系统显示出接收的不同数据包的统计信息，单击“Stop”按钮停止抓包后，所抓包的分析结果显示在面板中，如下图所示：为了使抓取的包更有针对性，在抓包之前，开启了QQ的视频聊天，因为QQ视频所使用的是UDP协议，所以抓取的包大部分是采用UDP协议的包。
3、对抓包结果的说明wireshark的抓包结果整个窗口被分成三部分：最上面为数据包列表，用来显示截获的每个数据包的总结性信息；中间为协议树，用来显示选定的数据包所属的协议信息；最下边是以十六进制形式表示的数据包内容，用来显示数据包在物理层上传输时的最终形式。
使用wireshark可以很方便地对截获的数据包进行分析，包括该数据包的源地址、目的地址、所属协议等。
上图的数据包列表中，第一列是编号（如第1个包），第二列是截取时间（0.），第三列source是源地址（115.155.39.93），第四列destination是目的地址（115.155.39.112），第五列protocol是这个包使用的协议（这里是UDP协议），第六列info是一些其它的信息，包括源端口号和目的端口号（源端口，目的端口）。
中间的是协议树，如下图：通过此协议树可以得到被截获数据包的更多信息，如主机的MAC地址（Ethernet II）、IP地址（Internet protocol）、UDP端口号（user datagram protocol）以及UDP协议的具体内容（data）。
最下面是以十六进制显示的数据包的具体内容，如图：这是被截获的数据包在物理媒体上传输时的最终形式，当在协议树中选中某行时，与其对应的十六进制代码同样会被选中，这样就可以很方便的对各种协议的数据包进行分析。
4、验证网络字节序网络上的数据流是字节流，对于一个多字节数值（比如十进制1014 = 0x03 f6），在进行网络传输的时候，先传递哪个字节，即先传递高位“03”还是先传递低位“f6”。
也就是说，当接收端收到第一个字节的时候，它是将这个字节作为高位还是低位来处理。
下面通过截图具体说明：最下面是物理媒体上传输的字节流的最终形式，都是16进制表示，发送时按顺序先发送00 23 54 c3 …00 03 f6 …接收时也按此顺序接收字节。
选中total length：1014， 它的十六进制表示是0x03f6， 从下面的蓝色选中区域可以看到，03在前面，f6在后面，即高字节数据在低地址，低字节数据在高地址（图中地址从上到下从左到右依次递增），所以可知，网络字节序采用的是大端模式。
