跳转至

如何抓取手机流量

通用方法

需满足以下前提条件：

  1. 电脑需插入网线
  2. 有一个能上网且支持监听模式的网卡/无线网卡

具体步骤：

  1. 电脑开启热点，共享网络
  2. 手机连接电脑热点
  3. wireshark监听热点网卡

Android系统

PCAPdroid

不需要手机root，但root后能在系统存在其他VPN的情况下进行抓包

安装官方插件

PCAPdroid提供了适用于Wireshark的插件(lua)，目录地址：PCAPdroid/tools，其中pcapdroid.lua插件安装后，我们可以在wireshark查看流量时看到对应的APP名

image-20251123231917935

About Wireshark(关于wireshark) → Folders(文件夹)选项，找到Lua插件目录，可以是全局Lua插件目录也可以是个人Lua插件目录

将pcapdroid.lua插件脚本放到以上两个目录之一里，之后在编辑选项里添加列，字段为pcapdroid.appname

image-20251124213453434

安装PCAPdroid证书

image-20251124210813235

打开TLS解密

image-20251124210853720

TLS解密需要安装中间人劫持组件和证书，首先安装组件

image-20251124211218657

随后导出证书，进行安装

image-20251124211446483

都安装成功后就可以进行TLS流量解密了

导出pcap流量包

image-20251124212136035

可选HTTP服务器或直接导出到PCAP文件，建议选择直接导出到pcap文件

image-20251124211818131

当操作应用时，可以抓取到对应应用的流量，停止后选择保存流量到本地，随后传输到电脑，使用wireshark打开

image-20251124215009046

TcpDump(需要Root)

只能在Root的手机或模拟器上使用，首先电脑下载tcpdump二进制程序，随后使用adb传到手机中

Bash
adb root
adb remount
adb push ./tcpdump /system/xbin/tcpdump

image-20251124223050218

随后查看网卡

Bash
tcpdump -D

image-20251124223222408

any表示抓取所有网卡流量

Bash
tcpdump -vv -i eth0 -s 0 -w /sdcard/dump.pcap

抓取完后使用adb将pcap/cap文件传到电脑上

Bash
adb pull /sdcard/dump.pcap ./anroid_eth0_dump.pcap

image-20251124223837072

IOS系统