捕获网上的一个数据单元

你点开一个网页，捕获浏览器做的网上第一件事不是渲染页面，而是个单元向服务器发出一条请求。服务器回给你的数据，是捕获一串看起来毫无规律的二进制数据。这串数据里，网上藏着你要的个单元标题、图片、数据按钮位置，捕获甚至广告位的网上高度。它没有形状，个单元没有颜色，数据只是捕获一堆字节在网线里狂奔。直到浏览器把它拆开、网上解析、个单元重新组装，你才看到那个熟悉的页面。

这个过程里，有一个最小的单位在流动。它不是像素，不是字符，而是数据单元。你可以把它想象成一个包裹：有地址、有内容、有校验码。地址告诉网络它要去哪，内容是你真正想要的东西，校验码用来确认它在路上没被改坏。三者缺一，这个包裹就废了。

我抓过很多这样的包裹。用Wireshark，一块网卡，一台旧笔记本。打开抓包软件的那一刻，屏幕上开始滚动的不是代码，是活生生的数据流。每一条记录都对应着一次真实的通信：有人正在加载一张猫的图片，有人在提交登录表单，有人在后台悄悄上报你的点击行为。它们混在一起，像早高峰地铁里的人流，方向不同，目的地不同，但都在同一根管道里挤着。

捕获一个数据单元，最直接的办法是监听。网卡默认只接收发给自己的帧，但你可以把它设成混杂模式。这样一来，同一局域网里所有经过的数据，它都照单全收。这招在Wi-Fi普及之前特别好用，因为早期以太网是共享总线的，所有人都在同一个碰撞域里说话。现在交换机把每个端口隔开了，混杂模式能抓到的东西少了很多。不过如果你能拿到路由器的镜像端口，或者干脆在网关机器上抓，效果还是可以的。

抓到之后，下一步是过滤。一条1Gbps的链路，每秒可能产生几十万个数据单元。你不可能一个一个看。BPF语法这时候就派上用场了。写一行tcp port 443 and host 192.168.1.100，屏幕上瞬间只剩你要的那几条。我第一次用这个过滤器的时候，感觉像在沙子里筛金子。本来满屏乱跳的包，一下子安静了，只剩下目标主机的HTTPS流量，整整齐齐排在那里。

拆开一个TCP数据单元，你会看到它其实分了好几层。最外面是以太网帧头，14个字节，里面装着源MAC和目的MAC。往里是IP头，20个字节起步，写着源IP和目的IP。再往里是TCP头，也是20个字节，带着端口号和序列号。最后才是你真正关心的载荷——HTTP请求、TLS握手、或者一段JSON。每一层都像套娃，剥开一层还有一层。剥到最后，你才看到那个原始的、未经修饰的数据。

有意思的是，数据单元本身并不关心内容。它只负责把一串字节从A搬到B。至于这串字节是情书还是病毒，是4K视频还是垃圾邮件，它一概不知。这种“无知”恰恰是互联网能跑起来的原因。如果每个路由器都要检查内容，网络早就堵死了。分层设计把复杂性推到了边缘，核心只做一件事：转发。

但这也意味着，一旦你捕获了数据单元，你就拿到了原始真相。服务器日志可以撒谎，浏览器缓存可以过期，但网卡上抓到的包不会骗你。它记录的是那一刻、那一毫秒、那一根网线上真实发生的电平变化。我见过有人靠抓包发现自家智能音箱在半夜偷偷上传音频，也见过运维靠一个重传的TCP包定位到机房某根网线接触不良。数据单元不说话，但它什么都知道。

下次你打开一个网页，不妨想想那几百个数据单元正在你眼前飞过。它们没有名字，没有面孔，只是按照协议规定的格式，一个接一个地抵达。你看到的页面，不过是它们最后的合影。

(责任编辑：百科)