简介：Sniffer抓包实验教程是一份面向网络管理员、开发者和初学者的实操文档，主要介绍Sniffer工具的工作原理、安装配置与基本抓包分析方法。文档从以太网卡杂乱模式切入，说明如何接收传输在网络上的每个数据包并截获目的地为其他计算机的报文，便于读者理解抓包背后的机制。安装部分详细给出默认安装路径建议、注册信息填写规则、序列号SA154-2558Y-255T9-2LASH的输入方法，并指导选择direct connection to the internet网络连接方式，最后说明重启后切换网卡混杂模式即可使用。资源压缩包共1个doc文件，约411KB，小巧便携，适合对照操作或打印参考。目前已有922人学习下载，可用于网络协议理解、故障排查和性能优化等场景，对想入门抓包分析的读者有较好的参考价值。

1. Sniffer 抓包实验教程：先懂原理再动手，才能抓到第一个包

抓包这件事，绕不开 Sniffer 这个老牌工具。它不需要写代码，不需要装驱动，核心就是把网卡拉到混杂模式，让经过这台机器的每一个数据包都逃不过你的眼睛。很多人第一次用 Sniffer 抓不到包，不是操作问题，而是没搞懂混杂模式和普通模式的差别就急着点按钮。本教程按「原理 → 安装 → 注册 → 抓包 → 排错」的顺序把整个流程走一遍，覆盖 sniffer 抓包实验里最常见的坑，适合刚入门的网络管理员、运维工程师，以及学校里头一次做协议分析实验的同学。整套实验跟着做，半小时内能抓到第一个完整的三次握手包。

2. 混杂模式与安装前置：为什么普通网卡收不到别人的包

2.1 以太网与混杂模式：Sniffer 能抓包的前提

Sniffer 这类工具的存在，依赖以太网的一个特性：数据在共享介质上传输时，物理上所有接到同一冲突域里的网卡都能"听到"帧。但正常情况下，网卡硬件会做一层过滤——只把目的 MAC 是自己、广播地址或者已加入组播地址的帧交给操作系统，其余的直接丢弃。这就是为什么你在自己电脑上开个抓包软件，默认只能看到自己的流量。

Sniffer 做的第一件事，就是把网卡切换成 Promiscuous Mode，中文一般叫混杂模式或杂乱模式。在这个模式下，网卡不再关心帧头里的目的 MAC 是不是自己，所有到口的帧一个不落全交给上层。有人会问：现在都是交换机组网，端口上只有发往本机的帧，开混杂模式不也什么都收不到吗？对，所以要抓别人流量的话，通常配合交换机端口镜像，或者在 HUB 环境、无线抓包里做。但协议分析实验不需要那么复杂，你在自己机器上抓自己产生的流量，混杂模式照样是必要的，因为很多工具在普通模式下连自己发的包都收不全，原因后面避坑章细说。

Sniffer Pro 安装包里自带网卡驱动层面的控制逻辑，安装后需要重启系统，本质上就是让驱动带着混杂模式的开关重新初始化。这也是它和后来那些纯用户态抓包工具最大的区别——它对网卡驱动的侵入更深，抓包性能更好，但兼容性和稳定性也更容易出问题。

2.2 实验环境准备：用一台旧 Windows 虚拟机最省事

Sniffer Pro 是上世纪九十年代末到两千年初的产品，设计时主要面向 Windows 98/2000/XP 时代的有线网卡。现在拿一台装 Windows 11 的新机器直接装，大概率翻车：驱动不识别、安装向导卡死、装上后打不开，都是常见现象。

我做这个实验时踩过一轮坑之后，固定用这套环境组合：

• 虚拟机软件用常见的那几款都行，配置不用高，单核 CPU、512MB 内存就够跑。
• 客户机系统装 Windows XP SP3，这是 Sniffer Pro 兼容性最好的系统，没有之一。
• 网络模式选 NAT 或桥接都可以，但建议先用 NAT 做实验，因为 NAT 模式下虚拟网卡的型号相对固定，Sniffer 识别率更高。
• 如果你非要在物理机上试，找一台带 Intel 千兆网卡的老电脑，装 Windows 7 32 位，还有一线希望。板载 Realtek 网卡在新系统上基本无解。

提示：Windows XP 虚拟机装完记得装 VMware Tools 或对应虚拟化增强工具，否则网卡驱动型号可能不对，Sniffer 装完照样抓不到包。

2.3 环境检查：装前先确认三件事

正式安装之前，花两分钟确认下面三项，能省下后面一整晚的排错时间。

第一，确认当前用户有管理员权限。Sniffer 安装时要写网卡驱动、改注册表、设置混杂模式，权限不够会在最后一步莫名其妙失败。第二，确认网卡工作正常，在命令行跑一个ipconfig /all，看到 IP 地址、子网掩码、默认网关都正常，再往下走。第三，关闭系统防火墙和杀毒软件。Sniffer 安装包要替换网卡驱动相关文件，这类操作在杀毒软件眼里和恶意行为长得一模一样，有时候会直接拦掉。

这三个检查做完，安装过程基本就不会再出幺蛾子。

3. 安装与注册全流程：路径、序列号、网络连接三处别填错

3.1 安装目录：默认路径为什么比自定义路径更稳

安装包运行后一路 Next 就能到目录选择界面，默认路径是C:\Program Files\NAI\SnifferNT。界面上有个 Browse 按钮可以改路径，但这里我给的建议和很多人相反：别改，就用默认路径。

原因有两个层面。第一，Sniffer Pro 的部分组件会按固定路径去找配置文件和分析结果目录，改到中文路径或者带空格的深目录，可能出现界面正常但实际无法保存抓包结果的情况。第二，这个软件年代久远，它的服务程序和 GUI 程序之间通过本地文件交换数据，路径写死在注册表里的情况很常见，手动改路径容易造成服务启动失败。我见过有人把 Sniffer 装到 D 盘根目录，结果每次启动都要手动启动后台服务，属于给自己挖坑。

如果你实在想装到别的盘，建议保持路径结构不变，只改盘符，比如D:\Program Files\NAI\SnifferNT，不要加自定义文件夹名。

3.2 注册信息与序列号：哪些能乱填，哪些不能

安装过程中会弹注册对话框，这里很多人被卡住。拆开来看，其实就两类字段。

一类是个人信息，包括姓名、公司、电话、传真。这些随便填，电话传真填一串数字就行，格式不对也不影响安装。但 Email 字段必须符合格式，也就是必须带 @ 符号，否则下一步按钮是灰的，没法继续。这是安装向导里少数几个带格式校验的字段，我见过有人在这里卡了十分钟。

另一类是产品序列号，在“Sniffer Pro User Registration”对话框里有一行叫“Sniffer Serial Number”，需要填注册码。教程配套资源里给的注册码是SA154-2558Y-255T9-2LASH，填的时候注意两点：一是大小写不用纠结，这个码不区分大小写；二是前后不要带空格，直接复制粘贴最稳妥，手输容易把数字 1 和小写 l 搞混。

注意：填完序列号后安装程序会继续释放文件，这个过程大概持续两三分钟，看起来像卡住了其实是正常的，别去点取消。

3.3 网络连接选项：直连和代理怎么选

文件复制完成后，安装向导会弹一个网络连接设置界面，这里只有两个选项：一个是直连互联网（Direct connection to the Internet），另一个是走代理服务器（Connect through a proxy server）。

选错会有什么后果？这个选项会影响 Sniffer 的在线升级和部分远程管理功能的网络通信方式。如果你实际是直连上网却选了代理，Sniffer 尝试连外网时就会去连一个不存在的代理地址，导致更新功能超时。反过来如果选了直连，结果你公司网络必须要代理才能出网，那它的外连功能同样废掉。

判断标准很简单：浏览器里能直接打开网页、不需要填代理服务器地址的，就选直连；浏览器设置了代理或者公司有统一代理脚本的，就选代理。拿不准的话，默认选直连，因为它不影响本地抓包核心功能，选错了最多是外连功能用不了。

我一般建议学生实验环境全选直连，反正这个工具的核心价值在抓包分析，不在在线功能。

3.4 重启的必要性：混杂模式切换是怎么生效的

安装收尾时，向导会提示重新启动计算机。这一步不是走形式，Sniffer Pro 安装时替换了网卡驱动的用户态控制部分，混杂模式的支持代码要等驱动重新加载才会生效。

重启后打开设备管理器，找到你的网卡，在属性里看“高级”选项卡，如果出现了一个和 Sniffer 相关的选项，说明驱动加载成功。不同网卡这个选项名字不一样，有些叫 “Network Address” 或者 “Test mode”，有些网卡不显示额外选项但驱动版本号变了，这都正常。

判断混杂模式到底有没有生效，方法很简单：先不要打开 Sniffer，先跑一个普通抓包工具看看能不能收到包。比如在命令行窗口 ping 一个地址，同时开 Sniffer 的捕获窗口，如果能抓到 ICMP 包，说明驱动层已经正常工作了。这一步验证放到第 6 章细讲。

4. 抓包与协议分析：从捕获窗口到过滤器的基本操作

4.1 第一次抓包：三步走流程

Sniffer Pro 装好重启后，第一次打开会有一个显示适配器选择界面，列出当前机器上所有网卡。这里要注意，它列出的不是所有网络接口，而是它能识别的网卡，如果虚拟机的网卡型号太新，这里可能是空的。选择你正在用的那块网卡，点确定进入主界面。

第一次抓包按这三个步骤来：

1. 点主界面工具栏上的 Capture 按钮（一个圆形开始图标）， 或者按 F9 快捷键，打开捕获窗口。 2. 在捕获窗口里点 Start 按钮（或按 F10），开始捕获。 3. 回到命令行，ping 一个公网地址或局域网网关， 产生一些流量，然后切回 Sniffer，点 Stop（F11）。

停止后，捕获窗口里会出现 Decode 选项卡，按一下 F5 或者点一下 Decode，就能看到解码后的数据包列表。第一次抓到包，列表里最显眼的就是 ARP 请求和 ICMP 回显报文。ARP 包在纯交换网络里可能不多，但 ICMP 包只要你 ping 过就一定有。

如果你做完这三步，Decode 界面里一个包都没有，别急着怀疑软件坏了，大概率是混杂模式没生效或者网卡选错了，直接跳到第 5 章的排查清单。

4.2 协议分析：从三次握手读懂一个 TCP 连接

抓包不只是为了看有没有流量，Sniffer 的看家本领是协议解码。选中列表里的任意一个包，下方的 Detail 窗格会从物理层到应用层逐层拆开。

做协议实验时，我建议每个人至少亲手抓一次 TCP 三次握手。操作方式：

1. 在 Sniffer 开始捕获后，用 telnet 或浏览器访问一个网站。 2. 停止捕获，在过滤器里输入 tcp，过滤出 TCP 包。 3. 找一组源端口和目的端口相同的连续包，通常是三个： 第一个 SYN，第二个 SYN+ACK，第三个 ACK。

在 Detail 窗格里点开 TCP 层，看 Flags 字段，你会直观地看到 SYN 位怎么置 1、ACK 怎么回、Sequence Number 和 Acknowledgment Number 怎么递增。这个实验做完，你对 TCP 状态机的理解会比看十遍书都深。

Sniffer 的 Decode 界面还有一个优点：它对应用层协议做了归类。比如 HTTP 包会直接标成 HTTP，FTP 控制连接和数据显示也做了区分。做协议实验时，直接在 Capture 窗口下方的统计栏里看协议分布，比在包列表里人肉翻高效得多。

4.3 过滤器：按 IP 和协议缩小范围

不加过滤地抓包，在真实网络环境里几分钟就能抓到几十万个包，根本没法分析。Sniffer Pro 的过滤器有两层，一层是捕获过滤器，在开始抓包前设置，只抓符合条件的包；另一层是显示过滤器，抓完包之后用，只展示符合条件的包。

捕获过滤器设置在开始捕获之前：

1. 在主界面点 Capture -> Define Filter。 2. 在 Filter Definition 对话框的 Address 选项卡里， 选择地址类型为 IP，然后填目标机器的 IP 地址。 3. 在 Data Pattern 选项卡里设置协议特征， 比如只捕获 TCP 端口 80 的包。 4. 设置完后，点 Profiles 按钮，把它保存为一个命名 profile， 比如叫 web_only，下次直接在工具栏下拉框里选。

显示过滤器更简单，直接在 Decode 界面的过滤输入框里敲表达式。比如只显示源 IP 是 192.168.1.10 的包：

ip.src == 192.168.1.10

显示 HTTP 流量：

tcp.port == 80

显示带 SYN 标志的 TCP 包：

tcp.flags.syn == 1

注意，Sniffer Pro 的显示过滤表达式和 Wireshark 的语法相近但不完全一样，版本不同支持的字段名也略有差异。如果你敲进去的表达式报错，先检查字段名，比如有些版本要用tcp.flags == 0x02表示 SYN，而不是写tcp.flags.syn。

过滤器用得好，抓包实验的效率能提升一个量级。动物园式地全量抓包只是体力活，带着过滤条件抓包才是分析。

5. 抓包实验常见问题：五条高频踩坑记录

5.1 现象：点击 Start 后一个包都抓不到

原因：网卡没进入混杂模式，或者选错了网卡。Sniffer Pro 在部分虚拟化平台上默认绑定了第一块网卡，但实际流量走的是第二块。

解决：先确认网卡选择。在主界面点 File -> Select Settings，把网卡切到真正有流量的那块，重新开始抓包。如果还是空，用命令行跑ipconfig /all看当前活动网卡的描述信息，和 Sniffer 里列出来的名字对比，名字对不上就说明驱动层匹配出了问题，卸载 Sniffer 重装一次，装完立即重启，不要拖。

5.2 现象：只抓到自己发的包，抓不到别人发给自己的包

原因：混杂模式实际上没生效。Sniffer 显示能捕获，但驱动里的混杂开关没打开，网卡还在按目的 MAC 过滤。

解决：在设备管理器里找到网卡，打开属性 -> 高级选项卡，看看有没有混杂模式（Promiscuous Mode）或类似选项，手动设为 Enabled。如果根本没有这个选项，说明驱动不支持，需要更换网卡驱动为旧版本，或者换虚拟机网卡型号。Realtek 网卡在 Windows XP 下有个经典问题，就是 Sniffer 装完混杂模式不生效，换用 Intel 网卡的虚拟机镜像能直接解决。

5.3 现象：安装完成后双击图标没反应或报错

原因：老软件在较新系统上缺少运行库。Sniffer Pro 依赖 VC++ 6.0 时代的运行库，Windows 7 以上系统默认不带。

解决：装完 Sniffer 后，手动补装 VC++ 6 运行库，然后右键 Sniffer 图标，选属性 -> 兼容性，勾选“以兼容模式运行”，选 Windows 2000 或 Windows XP SP3。这两个操作做完，八成以上的启动崩溃能解决。还不行就检查系统时间，Sniffer 的老版本存在时间炸弹问题，把系统时间调到 2010 年之前再启动试试。

5.4 现象：安装过程中网断了，重启后上不了网

原因：Sniffer 安装时替换了网卡驱动，新驱动下 IP 配置可能需要重新获取，或者驱动不完整导致网卡失灵。

解决：设备管理器里右键网卡，选禁用再启用，让网卡重新加载一次驱动。如果还不行，在网卡属性里手工指定 IP 地址和 DNS，或者卸载驱动后重新扫描硬件，让系统重装一遍网卡驱动。做完这个实验后，想恢复正常网络，最干净的办法是彻底卸载 Sniffer 并重启。

5.5 现象：识别不出来千兆/集成网卡

原因：Sniffer Pro 设计年代早于千兆网卡普及期，很多内建网卡走了新的总线接口，不在它的识别列表里。

解决：方案只有一个，换硬件。虚拟机里把网卡类型手动改成 Intel PRO/1000 系列，Sniffer 就能识别了。物理机上实在要用，加一块老 PCI 网卡，比如 8139 芯片的，识别率最高。这个坑没法从软件层面绕过，别浪费时间折腾驱动。

6. 抓包实验验证与进阶技巧：用一次 ping 确认混杂模式生效

Sniffer 装完，第一件事不是急着抓大流量，而是先验证混杂模式是否真的生效。我的验证方法固定不变：开两个命令行窗口，一个窗口里持续 ping 网关地址，另一个窗口里看 ARP 缓存。

# 窗口1：持续产生 ICMP 流量 ping -t 192.168.1.1 # 窗口2：观察 ARP 缓存变化 arp -a

在普通模式下，你只能看到自己机器和网关之间的 ARP 条目。如果混杂模式正常工作，Sniffer 在后台不打开捕获窗口的情况下，也能在列表中看到其它主机的 MAC 地址。对实验环境来说更实用的验证方式，是开 Sniffer 捕获，然后从另一台机器 ping 你这台机器，如果在包列表里能看到那台机器的 MAC 地址出现在帧头里，说明混杂模式没问题。

进阶技巧方面，Sniffer Pro 的 Expert 模式值得花点时间研究。在 Decode 界面上方有个 Expert 选项卡，它会自动把抓到的包按连接归组，标出 TCP 重传、窗口缩小、重复 ACK 等异常。做网络性能分析时，这个功能比一条条翻包高效得多——常见网络故障在 Expert 视图里一眼就能定位到是哪个 IP、哪个端口在出问题。

另一个实用技巧是把捕获结果保存为.enc文件，这个格式可以被 Sniffer 的姊妹工具和部分现代分析软件兼容。实验做完后，用 Sniffer 打开保存的文件，可以继续离线分析，不用重新抓包。这在排查突发网络问题时特别有用，抓包时没有头绪，等冷静下来再回看数据。

还有一个容易被忽略的小开关：在捕获窗口的 Buffer 设置里，可以调整环形缓冲的大小。默认的缓冲只有 64KB，稍微抓点大流量就溢出了，溢出的表现是“有包但列表不全”。实验时建议把缓冲调到 10MB 以上，避免抓一半丢数据。这个设置藏在 Capture -> Define Filter -> Buffer 选项卡里，很多人从头到尾都没打开过。

从那以后，我每次装完 Sniffer 都会强制走一遍验证流程：先看网卡认没认到，再跑一轮 ping 确认混杂模式生效，最后把缓冲调大再开抓。整个流程五分钟不到，但能省掉后面所有“为什么抓不到包”的玄学时间。希望这个教程帮你绕过我当年踩过的坑，把宝贵时间留给真正的协议分析。

本文还有配套的精品资源，点击获取