内容摘要：Mac上抓包，绕不开的工具就那几个。Wireshark是首选，但很多人装完就懵——满屏的十六进制流，根本不知道从哪下手。另一个是Charles，界面友好得多，但收费。还有个免费的Burp Suite，

Mac上抓包，包工绕不开的包工工具就那几个。Wireshark是包工首选，但很多人装完就懵——满屏的包工十六进制流，根本不知道从哪下手。包工另一个是包工Charles，界面友好得多，包工但收费。包工还有个免费的包工Burp Suite，偏向Web安全测试。包工今天不聊高大上的包工命令行tcpdump，就说这三样怎么用顺手。包工

先说Wireshark。包工打开它，包工选网卡，包工点开始，数据包瞬间刷屏。新手最容易犯的错是直接抓Wi-Fi网卡，结果全是广播包和乱七八糟的协议。正确做法是先过滤。比如你要看HTTP请求，就在过滤器框里敲http，回车，世界清净了。想抓某个App的流量，先找到它的IP——在手机或电脑上ping一下域名，拿到IP后过滤ip.addr == xxx.xxx.xxx.xxx。这招比瞎抓高效十倍。

有个细节你可能不知道：Wireshark默认不抓环回地址（localhost）的流量。Mac上想抓本机进程间的通信，得先装个ChmodBPF启动脚本，或者用sudo tcpdump -i lo0先导出文件再导入Wireshark分析。我第一次抓本机代理流量时卡了半天，后来发现是这原因。

再说Charles。它更像一个中间人代理，抓的是应用层数据。打开Charles，Mac上要先配置系统代理，端口默认8888。手机连同一个Wi-Fi，把代理设到Mac的IP，就能看到手机App的请求了。最实用的功能是“Map Local”——把线上接口重定向到本地文件，调试后端接口时不用改代码就能模拟各种返回。这功能救过我很多次，比如测试支付回调，直接在Charles里改响应体，省得一次次找后端配合。

Charles有个坑：新版默认启用SSL代理，但证书得手动信任。不装证书的话，HTTPS流量全是乱码。装完证书还要在系统钥匙串里改成“始终信任”，不然照样抓不了。很多人卡在这步就放弃了。

Burp Suite是另一个路子。它更适合抓Web和API的包，社区版免费。启动后用它的代理端口（默认8080），浏览器配置走这个代理，所有请求都过它。它的重放功能很顺手——右键Send to Repeater，改参数，点Go，就能看响应变化。做接口安全测试时，这比Wireshark直观太多。

三个工具怎么选？简单粗暴：想看底层TCP/IP、排查丢包延迟，用Wireshark；想调试App和Web接口、模拟响应，用Charles；想测接口漏洞、改包重放，用Burp。我平时工作流是：先用Charles抓一遍看整体结构，发现问题后拉出关键请求到Burp里做深入测试，偶尔需要看TCP层状态才开Wireshark。

最后提个建议：抓包别贪多。一次只抓一个接口或一个进程，过滤条件写清楚。不然数据量一上来，你连自己找什么都忘了。Mac上抓包不难，难的是知道抓什么。