6.2 抓包的红线：授权、隐私与证据保管
6.2 抓包的红线：授权、隐私与证据保管
抓包是"看见一切"的能力，而看见一切的前提是被允许看见。本节不讲具体法条（各地规则差异大，且我不是法律顾问），讲的是每个抓包者都绕不开的三组工程判断：授权边界怎么确认、隐私暴露面怎么控制、证据材料怎么保管。这些判断与 6.1 节的解密能力互为镜像——能力越强，边界越要清楚。取证案的保管链要求也在这里落地，补上 2.2 节留下的伏笔。
红线一：授权——开抓之前的三问
动手采集前，问自己三个问题，任何一个答不上来就先停下：
问题一：这块网卡归谁管？ 镜像口是运维批的，本机网卡是自己的，中间设备上的采集要设备主人点头。 "我能登录这台机器"不等于"我可以在这台机器上抓包"。 问题二：流量里有谁？ 员工浏览行为、用户业务数据、第三方合作方报文——涉他数据越多， 授权层级越高。办公网抓全量流量，几乎必然涉及他人隐私。 问题三：谁需要知道我在抓？ 安全演练要让蓝队知情还是对抗保密，排查要通知业务方与否， 取证要不要提前报备——先有答案再按开始键。
常见误区是"我只抓技术数据"。一次普通的办公网抓包，抓到的可能包括同事的明文表单、内部系统的会话令牌、甚至别人的密码重置链接。授权判断的单位不是"流量"，而是"流量里的人"。
红线二：隐私暴露面——抓包文件里都躺着什么
明文时代的暴露面是直接的，看看一次"普通"的 HTTP 表单提交在载荷里的样子：
$ tshark -r legacy.pcapng -Y "http.request.method == POST" -T fields \ -e http.request.uri -e urlencoded-form.key -e urlencoded-form.value | head -3 /login username lchen /login password Plaintext!123 /api/profile token eyJhbGciOi...
用户名、密码、令牌，三样全齐——这就是为什么 5.2 节的套路十三把"明文表单清点"列为合规证据。加密时代的暴露面则更隐蔽：
# 即使全程 TLS，以下信息仍然明文 $ tshark -r tls.pcapng -Y "tls.handshake.type==1" -T fields -e tls.handshake.extensions_server_name | head -5 mail.corp.example.cn hr-system.corp.example.cn job-site.example.com
SNI 明文暴露访问目标（4.3 节讲过），DNS 查询同理。一份"只是加密流量"的捕获文件，仍然是一份完整的员工上网行为记录。暴露面清单一句话：载荷密码、会话令牌、访问目标、通信对象、时间规律——五样东西，抓包文件里常备常新。
红线三：最小化与脱敏——够用就好，用完扫净
采集端最小化：想清楚要证明什么，筛子下在门口。查一个接口的握手，捕获过滤限定主机与端口即可，不要"先全抓回来再说"——全量捕获的问题不只是体积，还有暴露面。
分析端脱敏：需要共享样本（报障给厂商、教学演示、样本库投稿）时，先做脱敏处置：
# 处置一：只导出需要的字段，不带载荷 $ tshark -r incident.pcapng -Y "tcp.flags.syn==1" \ -T fields -e frame.time_relative -e ip.src -e tcp.dstport > share.txt # 处置二：地址匿名化——手工或脚本替换为文档化的假地址段 # 教学文档惯例：192.0.2.0/24、198.51.100.0/24、203.0.113.0/24 三段文档专用段 # （本册全部示例即遵循此惯例） # 处置三：敏感帧剔除后再共享 $ editcap -r legacy.pcapng cleaned.pcapng 100-200 # 只保留指定区间
保管端纪律：捕获文件按"含密码的材料"定级——加密盘存放、最小范围可见、明确保留期限、到期销毁。密钥日志文件（6.1 节）与此同级，用完即删。
⚠️ 最容易忽视的场景：把抓包文件拖进聊天工具发给同事。那一刻文件离开了你的权限域，暴露面就失控了。共享前先过一遍上面的脱敏三处置。
取证案的保管链：从 2.2 节到这里的闭环
2.2 节讲了文件的整备工具，这里补齐保管链的完整要求。取证场景（安全事件溯源、纠纷仲裁）的四步闭环：
第一步 采集留痕：记录人、时间、点位、接口、捕获过滤、丢包统计， 与文件一起归档（pcapng 选项字段能装一部分，其余写随附记录）。 第二步 原件封存：计算摘要存档，之后所有操作只碰副本。 $ sha256sum evidence.pcapng 9f2c... evidence.pcapng 第三步 操作留痕：在副本上做的每一次过滤、切分、导出，命令与 参数记录进勘验日志——结论要能被同样的命令复现。 第四步 传递留痕：交给第三方（鉴定、司法、厂商）时记录交接， 存储介质加密，链路加密。
四步的核心思想只有一条：每个结论都能回溯到原始字节，每次接触都有据可查。这也是"解剖台"比喻在程序正义上的延伸——证据链断了，解剖得再漂亮也白费。
把边界感变成肌肉记忆
三个习惯，把上述红线内化成日常动作：
- 开抓前的口头仪式：说出"我在谁的网上、抓谁的流量、给谁看"三句话，说不清就先去拿授权。
- 敏感文件的默认动作：拿到含明文凭据的文件，第一反应是"这是密码级材料"，先改权限再分析。
- 共享前必过筛：任何出域动作前跑一遍脱敏三处置，缺一步不出手。
脱敏实录：一份要发给厂商的样本
把脱敏三处置走成一个完整会话。案情：排查网关问题需要把抓包样本发给厂商支持，样本里有员工登录流量。
# 第 0 步：评估暴露面——这份样本里有什么敏感物 $ tshark -r support.pcapng -Y "http.request.method==POST" -T fields -e http.request.uri | sort -u /login <- 有表单登录：用户名与密码就在载荷里 # 第 1 步：问题只与网关握手有关 → 处置一：只导相关字段，不带载荷 $ tshark -r support.pcapng -Y "tls.handshake.type" -T fields \ -e frame.time_relative -e ip.src -e ip.dst -e tls.handshake.type \ -E header=y -E separator=, > share_fields.csv # 第 2 步：厂商要看原始握手帧 → 处置三：只裁握手区间，剔除登录时段 $ editcap -r support.pcapng share_frames.pcapng 1-88 # 登录发生在第 200 帧之后 # 第 3 步：内部地址外发 → 处置二：地址替换为文档段（脚本批量处理） # 内网 10.0.x.x → 192.0.2.x（文档专用段），映射表自己留底 $ capinfos share_frames.pcapng | grep packets Number of packets: 88 <- 复核：范围与预期一致 # 第 4 步：发出前最后一眼——按暴露面清单再扫一遍 $ tshark -r share_frames.pcapng -Y "http || data" -c 1 # 零命中：明文载荷已清
四步之后，样本里只剩握手指纹与假地址——厂商能定位问题，员工的密码永远没离开你的网络。脱敏不是走过场，第 4 步的"最后一眼"救过很多人的职业生涯。
常见疑问
**问：公司有安全团队，抓包红线是不是他们的事？**边界意识人人有份。安全团队管制度与审计，但你按下开始键的那一刻，暴露面的直接控制者是你。"我以为有人审过"从来不是事后追责时的有效辩护。
**问：学习练手怎么避开红线？**三个安全的练习场：自己的机器与本机回环、实验环境里的虚拟机、公开样本库（7.3 节）。三者足够支撑从入门到精通的全部练习——真实生产流量不是教材，是责任。
结案要点
- 授权三问：网卡归谁、流量里有谁、谁需要知情——任何一问答不上就停。
- 暴露面五件套：密码、令牌、访问目标、通信对象、时间规律。
- 最小化从采集端做起：门口下筛优于全量回筛。
- 共享前脱敏三处置：只导字段、地址假段化、敏感帧剔除。
- 取证四步闭环：留痕、封存、复现、交接——结论要能回到原始字节。
技术与红线都齐了。下一章给解剖台加装扩展装备——工具链搭档与 Lua 自定义解剖刀。