Wireshark 抓包实战：从 TCP 三次握手到 HTTP 响应全解析—

📅 发布时间：2026/7/31 7:56:35

环境搭建完成后，启动 Pikachu 靶场服务，在 Kali 中打开 Wireshark 并选择监听网卡（通常为eth0或wlan0），设置过滤条件为tcp.port == 80以专注 HTTP 流量。

第一次握手（SYN）：客户端向服务器发送 SYN 包（SYN=1, seq=x），请求建立连接，进入SYN_SENT状态
第二次握手（SYN+ACK）：服务器收到 SYN 包后，回复 SYN+ACK 包（SYN=1, ACK=1, seq=y, ack=x+1），进入SYN_RCVD状态
第三次握手（ACK）：客户端收到 SYN+ACK 后，发送 ACK 包（ACK=1, seq=x+1, ack=y+1），连接建立完成，双方进入ESTABLISHED状态

三次握手的主要目的是防止历史重复连接造成的混乱。如果只有两次握手：

三次握手通过客户端最后确认，确保双方都确认了对方的初始序列号，建立了可靠的同步。

Host：Host:localhost
- 作用：在虚拟主机环境中区分不同网站
- 安全意义：缺少 Host 头或使用 IP 直接访问可能绕过某些安全检测
User-Agent：User-Agent: Mozilla/5.0 (X11; Linux x86_64)...
- 作用：标识客户端浏览器和操作系统信息
- 安全风险：暴露客户端指纹，攻击者可针对性利用已知漏洞
Referer：Referer: http://localhost/pikachu/vul/csrf/csrf_post_login.php
- 作用：表示请求来源页面
- 安全隐患：URL 中可能包含明文密码等敏感参数（如?password=123456）
- 建议：敏感操作应使用 POST 方法 + HTTPS 加密传输
Cookie：Cookie: PHPSESSID=abc123def456
- 作用：会话身份凭证，服务器通过此 ID 识别用户
- 安全配置：应设置HttpOnly和Secure标志防止 XSS 窃取

Status:200 OK
- 表示请求成功，资源正常返回
- 其他常见状态码：404（未找到）、500（服务器错误）、302（重定向）
Server:Apache/2.4.68 (Debian)
- 信息泄露风险：暴露服务器类型和具体版本
- 攻击者可针对该版本已知漏洞进行攻击
- 生产环境建议：修改配置隐藏或模糊 Server 头
Content-Encoding:gzip
- 作用：使用 gzip 压缩响应体，减少传输数据量
- 性能优化：显著提升大文本资源（如 HTML、CSS、JS）的加载速度

问题：GET 请求参数在 Referer 头中完全暴露
解决方案：
- 敏感数据（登录、支付）必须使用 POST 方法
- 全站启用 HTTPS 加密传输
- 考虑使用 CSRF Token 而非依赖 Referer 检查

加固措施：

# Apache 配置示例 ServerTokens Prod ServerSignature Off

# Nginx 配置示例 server_tokens off;

最佳实践：

// PHP 设置安全 Cookiesetcookie('PHPSESSID',$session_id,['httponly'=>true,'secure'=>true,// 仅 HTTPS'samesite'=>'Strict']);

作为软件工程出身的安全研究者，从 Socket 编程视角分析网络协议，能获得更深刻的理解：

通过本次 Wireshark 抓包分析，我们不仅看到了协议如何工作，更发现了实际部署中的安全隐患。这种"白盒"分析能力，正是安全工程师区别于普通开发者的核心技能。

Wireshark 抓包实战：从 TCP 三次握手到 HTTP 响应全解析——以 Pikachu 靶场为例