内网抓包

办公室的内网抓包空调嗡嗡响，网线从天花板垂下来，内网抓包像一条条灰蛇。内网抓包我蹲在机柜旁边，内网抓包手里捏着那根被剥了皮的内网抓包双绞线，八根细铜丝在灯光下闪着冷光。内网抓包旁边坐着的内网抓包同事老周已经把笔记本打开，Wireshark的内网抓包界面黑底绿字，滚动条开始慢慢往下走。内网抓包

内网抓包这事，内网抓包说白了就是内网抓包偷听。偷听自己公司的内网抓包网络，听那些数据包在交换机之间跑来跑去时说了什么悄悄话。内网抓包有人觉得这活儿特别高级，内网抓包得懂什么TCP三次握手、内网抓包SSL证书校验，其实真上手了才发现，多数时候你就是在看一堆乱七八糟的十六进制代码里，突然蹦出一行明文密码，那种感觉就像在垃圾堆里翻出一枚钻戒。

我们那次是查一台服务器为什么半夜自己往外发包。日志查了三天，防火墙也看了，全都没问题。老周把笔记本接到那台服务器的镜像端口上，抓了二十分钟，数据包里全是些正常的HTTP请求。他盯着屏幕看了半天，突然指着一条流量说：“你看这个，每五分钟一次，固定发到一个IP的53端口。”我凑过去，那IP是个境外地址，域名解析请求，但请求的域名看起来像是随机生成的字母串。

这不是普通的程序行为，像是某种心跳信号。我们顺着那个域名去查，发现它注册时间就在一个月前，正好是服务器开始异常的那天。后来在服务器上挖出一个伪装成系统服务的进程，名字叫“WindowsUpdate”，要不是抓包抓到这个规律性的DNS查询，这玩意儿可能还在那儿潜伏着。

内网抓包最麻烦的不是技术，是位置。你得找个合适的接入点，就像偷听也得离得够近才行。交换机的镜像端口是最理想的，但很多公司根本不给普通运维开这个权限。那就只能靠Hub——现在找台Hub比找台古董打印机还难。还有一招，用ARP欺骗，把自己伪装成网关，让数据都往你这里走一遍。但这招风险大，容易把整个网络搞瘫，我有次手抖，一个ARP包发出去，全公司断网五分钟，那场面，行政的小姑娘直接冲进机房问是不是停电了。

抓包抓久了，你会对网络产生一种奇怪的感觉。那些数据包像是一群蚂蚁，沿着固定的路径爬行，井然有序。偶尔有一只迷路的，或者一只带着毒回来的，你就要把它截住，掰开它的嘴，看看它到底吃了什么。有些公司内部员工用明文HTTP传密码，抓包软件里看得一清二楚，那感觉就像看一个人把银行卡密码写在便利贴上贴在显示器上。

那次抓完包，老周把那台服务器断网，杀进程，清理后门，前后忙活到凌晨两点。我收拾东西走的时候，机房里的灯还亮着，交换机上的指示灯一闪一闪，像是从来没发生过什么事。数据包还在跑，每秒几千个，没人知道里面有没有藏着另一个秘密。

有时候我会想，网络这东西，表面上是电缆和信号，实际上全是人的心思。你抓包，抓的其实不是数据，是欲望，是恐惧，是那些不愿意写在明面上的东西。