用途：在任何需要拿到网络流量的任务中提供捕获流程，例如恶意样本回连观察、固件通信分析、协议逆向的原料获取；也用于已有pcap的导出、统计与过滤（tshark环节），以及HTTPS/TLS通信解密看明文（mitmproxy中间人）。若流量已解密且只需协议语义，应直接用 re-proto-rev；样本不联网先做 re-triage；只抓少量包可直接用 tcpdump -i any -c N，不必走全流程。
主要能力与工具：tcpdump 负责命令行抓包，支持 BPF 过滤（host/port/proto、and/or/not、括号分组），-n 禁反向DNS、-s 限捕获长度、-C/-W 轮转防爆盘；wireshark/tshark 提供 GUI 与 CLI 分析，tshark 可按字段导出与统计（会话统计、HTTP请求、TLS SNI），capinfos/mergecap/editcap 处理 pcap 元信息、合并与切分；mitmproxy 做 HTTPS/TLS 中间人解密，首次运行生成CA于 ~/.mitmproxy/mitmproxy-ca-cert.pem 并可装进目标信任库；nfqueue 用于 Linux 内核态流量转发或中间人抓包点。安装与验证命令保持原样，如 tcpdump --version、tcpdump -D、tshark --version、tshark -D、mitmproxy --version。
使用方式：先选定抓包点（本机、网关/转发点、中间人），先不带 -w 屏显验证过滤命中再写盘；从已有 pcap 用 tshark 提取关键流并把会话数、协议分布、异常连接记入分析笔记；需要看 HTTPS 明文时用 mitmproxy 透明或常规代理并让目标信任其CA；沙箱场景需默认拒绝出站并白名单放行分析基础设施（如 INetSim），抓包点放在 INetSim 主机侧以同时获得请求与响应。
适用场景：样本C2回连捕获、固件仿真环境虚拟网卡抓包、协议逆向与解密流程的输入准备，捕获产物（pcap路径与sha256）应存档。
限制与注意：捕获环境与隔离环境需同时就绪，沙箱网络不隔离会导致真实外联，结果不可信，需分别验证 TCP、UDP 与硬编码IP直连三条路径均不通，仅 ping 不通不构成结论；无中间人时 TLS 只见密文；BPF 或显示过滤写错会漏关键流；全量抓包易导致文件巨大与分析卡死；DoH/DoT 回连抓不到查询内容，只能结合端点特征与信标周期分析。具体版本差异与命令族速查暂未在本资料中展开。