1. 项目概述：为什么我们需要深入理解Telnet与TFTP的流量？

如果你是一名网络工程师、安全研究员，或者正在学习TCP/IP协议栈，那么Wireshark绝对是你工具箱里不可或缺的“瑞士军刀”。但很多新手在打开Wireshark，面对海量数据包时，常常会感到无从下手——抓是抓到了，然后呢？今天，我们就从一个非常经典且极具教育意义的场景切入：解析Telnet和TFTP这两种古老但仍在特定场景下广泛使用的协议。

选择这两个协议作为实战对象，原因有三。第一，它们都基于明文传输，是学习协议分析的绝佳“标本”，所有秘密都“躺”在数据包里，一目了然。第二，它们代表了两种典型的应用模式：Telnet是交互式命令行会话，TFTP是简单的文件传输，覆盖了连续流和请求-应答两种模型。第三，尽管它们因安全性问题（尤其是Telnet）在现代互联网核心区域已基本被SSH、SFTP等替代，但在工业控制网络（如PLC配置）、旧有设备维护（如交换机、路由器）、以及某些嵌入式系统和物联网设备的内部调试中，依然非常活跃。理解它们的流量，不仅能帮你排查问题，更能让你直观地看到不加密通信所带来的巨大安全风险，比如密码是如何在网络上“裸奔”的。

本次实战，我将带你从零开始，搭建一个包含Telnet服务和TFTP服务的简易实验环境，用Wireshark捕获并分析整个通信过程。你会亲眼看到Telnet的每一个击键（包括你的用户名和密码）如何被封装成TCP数据段，以及TFTP文件传输的每一个数据块如何通过UDP协议进行“接力”。更重要的是，我会分享一系列从实际工作中总结出来的“避坑指南”，比如如何设置正确的捕获过滤器以避免数据洪流、如何解读看似异常的协议字段、以及当抓不到包或分析不出内容时，应该从哪几个方向进行排查。这不仅仅是一次操作演示，更是一次网络协议思维的深度训练。

2. 实验环境搭建与Wireshark基础配置

工欲善其事，必先利其器。一个可控、干净的实验环境是成功抓包和分析的前提。盲目在复杂的生产网络里抓包，你很可能被海量的无关流量淹没。

2.1 构建本地靶机环境

我强烈建议在虚拟机中完成本次实验。你可以使用VirtualBox或VMware创建两台虚拟机，一台作为客户端（Client），一台作为服务器（Server）。操作系统选择Ubuntu Server或CentOS Stream等常见的Linux发行版即可，它们都自带了Telnet客户端和服务端软件包，TFTP服务也很容易安装。

在服务器端，我们需要安装并启动Telnet和TFTP服务：

# 对于基于Debian/Ubuntu的系统 sudo apt update sudo apt install -y xinetd telnetd tftpd-hpa # 配置并启动TFTP（使用xinetd管理） sudo systemctl enable tftpd-hpa sudo systemctl start tftpd-hpa # 配置并启动Telnet（同样可通过xinetd，但现代系统常用systemd直接管理openbsd-inetd） sudo apt install -y openbsd-inetd # 编辑 /etc/inetd.conf，确保包含telnet行（通常默认有），然后重启inetd

在客户端，只需要安装Telnet客户端和TFTP客户端工具：

sudo apt install -y telnet tftp

注意：出于绝对的安全考虑，在实验完成后，请务必在服务器上禁用这些服务（sudo systemctl stop telnet.socket tftpd-hpa）。永远不要在暴露于公网的机器上启用Telnet服务。

2.2 Wireshark的捕获前关键设置

安装好Wireshark后，别急着点“开始捕获”。几个关键设置能极大提升你的抓包效率和体验。

首先，选择正确的网络接口。在虚拟化环境中，你的虚拟机通常有一块虚拟网卡（如eth0或ens33）。你需要选择这块网卡，而不是主机的物理网卡（如Wi-Fi或以太网）。一个简单的判断方法是，在虚拟机里运行ip addr命令，查看其IP地址（如192.168.1.10），然后在Wireshark的接口列表里找到拥有相同IP地址或活跃数据包跳动的那个接口。

其次，也是最重要的一步：设置捕获过滤器（Capture Filter）。捕获过滤器在抓包前就过滤掉不相关的流量，能节省大量磁盘空间和CPU资源，让你专注于目标流量。对于本次实验，假设我们的服务器IP是192.168.1.100，客户端IP是192.168.1.10。我们可以设置过滤器只抓取与这两个主机相关的流量：

host 192.168.1.100 or host 192.168.1.10

这个过滤器意味着，只有源IP或目标IP是192.168.1.100或192.168.1.10的数据包才会被捕获。这能有效屏蔽同一网段内其他设备的广播、组播等干扰流量。

最后，建议在“捕获选项”中，开启“在实时捕获时更新数据包列表”，并设置一个合理的环形缓冲区或单个文件大小限制（例如100MB）。这样可以防止在长时间抓包时，Wireshark占用过多内存或磁盘空间。

3. Telnet协议抓包实战：明文密码的“现场直播”

Telnet协议设计于互联网的早期，其核心目标是在网络上提供一个虚拟终端。它基于TCP协议，默认端口23。整个会话，包括登录认证和所有命令操作，都以明文形式传输。让我们来亲手揭开这个过程。

3.1 建立连接与协商过程解析

在客户端执行telnet 192.168.1.100命令的同时，在Wireshark中开始抓包。你首先会看到标准的TCP三次握手过程：[SYN]->[SYN, ACK]->[ACK]。握手成功后，真正的Telnet协议交互才开始。

紧接着三次握手，你会看到服务器和客户端之间交换了几个TCP数据包，内容看起来是乱码或一些特殊的字符序列。这些就是Telnet选项协商。Telnet协议定义了许多选项来控制连接的行为，例如终端类型、行模式、回显控制等。服务器和客户端通过交换IAC（Interpret As Command，值为255）序列来协商这些选项。例如，一个常见的序列是FF FB 01，这表示IAC WILL Echo，意思是“我将启用回显”。对于初学者，可以暂时不用深究每一个选项的具体含义，但需要知道这个协商阶段的存在，它不是数据传输，而是为后续的字符传输设定规则。

3.2 登录过程与密码明文捕获

选项协商完成后，服务器通常会发送一个登录提示符，如 “login:”。在Wireshark中，找到携带这个字符串的数据包，选中它，在下方的数据包详情面板中，展开 “Transmission Control Protocol” -> 右键点击 “Telnet” 协议层 -> 选择 “Follow” -> “TCP Stream”。

一个至关重要的新窗口会弹出，这就是“追踪TCP流”功能。它将本次TCP连接的所有应用层数据（即Telnet数据）按顺序重组，并以ASCII或EBCDIC码的形式呈现出来。在这里，整个交互过程一目了然。

你会清晰地看到：

1. 服务器输出：login:
2. 客户端输入：root（你输入的用户名）
3. 服务器输出：Password:
4. 客户端输入：your_password_here（你输入的密码）

是的，你的密码your_password_here就这样毫无遮掩地显示在流内容里。这就是Telnet最大的安全漏洞。任何能够截获你们之间网络流量的人（比如同一局域网内的攻击者通过ARP欺骗），都可以轻易地获取你的登录凭证。

实操心得：在分析Telnet流时，“追踪TCP流”窗口是最强大的工具。它不仅还原了对话，还自动进行了着色（客户端为红色，服务器为蓝色），使得阅读异常直观。此外，你可以在这个窗口上方选择“显示和保存数据为”的格式，比如“ASCII”，这能帮你过滤掉协议协商的控制字符，只看到纯文本交互。

3.3 命令执行与流量特征分析

登录成功后，你执行的每一条命令（ls,pwd,cat等）及其输出，都会像击键记录一样被捕获。在TCP流中，你会看到命令和输出交错出现。由于Telnet是逐字符或逐行传输的（取决于协商的模式），有时一个命令的输入可能会被分割在多个TCP数据包里，但“追踪TCP流”功能完美地解决了这个问题，将它们重组为完整的会话。

从安全分析的角度，我们可以提炼出Telnet流量的几个关键特征：

1. 固定端口：目标端口为23。
2. 明文协议：直接搜索字符串如 “login”、“Password”、常见命令（ls,cd）或用户名（root,admin），可以快速定位Telnet流量。
3. 交互模式：流量是双向、连续的，有频繁的、小尺寸的数据包交换。

4. TFTP协议抓包实战：简单的文件传输协议

TFTP（Trivial File Transfer Protocol）是一个基于UDP的简单文件传输协议，设计目标是小巧、易于实现，常用于无盘工作站启动、网络设备固件升级等场景。它使用端口69。与FTP的复杂命令通道和数据通道分离不同，TFTP的整个交互过程都在UDP上完成，且协议报文格式极其简单。

4.1 TFTP操作码与工作模式解析

TFTP协议只有五种类型的报文，通过操作码（Opcode）区分：

• RRQ (Read Request, Opcode=1)：客户端向服务器请求读取（下载）一个文件。
• WRQ (Write Request, Opcode=2)：客户端向服务器请求写入（上传）一个文件。
• DATA (Data, Opcode=3)：承载文件数据。
• ACK (Acknowledgment, Opcode=4)：确认收到数据包。
• ERROR (Error, Opcode=5)：报告错误。

TFTP支持两种传输模式：netascii（文本模式，会进行CR/LF转换）和octet（二进制模式，原样传输）。在现代环境中，几乎总是使用octet模式。

4.2 文件下载（RRQ）全流程抓包分析

让我们从客户端下载一个文件：tftp 192.168.1.100 -c get test.txt。在Wireshark中，使用显示过滤器tftp或udp.port==69来快速定位TFTP流量。

抓包结果会清晰地展示一个“锁步”式的交互过程：

1. RRQ请求：客户端发送一个UDP包到服务器的69端口。详情面板中，TFTP层显示 Opcode: Read Request (1)，文件名为 “test.txt”，模式为 “octet”。这个包开启了整个传输会话。
2. DATA数据块：服务器从另一个随机的高端口（例如20001）向客户端的随机高端口发送第一个DATA包。Opcode为3，块编号（Block）为1。数据负载（例如512字节）就在这个包里。TFTP规定每个数据块最大为512字节，这意味着如果一个文件是513字节，它会被分成两个块（512+1）来传输。
3. ACK确认：客户端收到块1后，立即向服务器的20001端口回送一个ACK包。Opcode为4，块编号为1，表示“我已收到块1”。
4. 循环：服务器发送块2，客户端ACK块2，如此反复。
5. 结束标志：当服务器发送的一个DATA包的数据部分小于512字节时，客户端知道这是最后一个数据块。在ACK了这个最后的块之后，文件传输完成。

整个过程中，没有复杂的登录，没有目录列表，只有纯粹的“请求-数据-确认”循环。这也是它“简单”的体现。

4.3 文件上传（WRQ）与协议脆弱性探讨

上传命令类似：tftp 192.168.1.100 -c put local.txt。抓包分析显示，流程变为：

1. 客户端发送WRQ请求（Opcode=2）。
2. 服务器回复ACK包，块编号为0（这是一个特殊的ACK，用于确认WRQ请求）。
3. 客户端发送DATA块1。
4. 服务器ACK块1。
5. 后续循环与下载类似。

TFTP的简单性也带来了明显的脆弱性：

• 无认证：任何人都可以向TFTP服务器读写文件（如果服务器未做IP或目录权限限制）。
• 明文传输：文件内容在DATA包中一览无余。
• UDP泛洪攻击风险：攻击者可以伪造大量WRQ请求，导致服务器创建大量文件，耗尽磁盘空间。

在Wireshark中，你可以轻松地提取传输的文件。右键点击任何一个DATA包 -> 选择 “Follow” -> “UDP Stream”。在弹出的流内容窗口中，将 “显示数据为” 从 “ASCII” 改为 “原始数据”，然后点击 “另存为”，即可将原始字节流保存为文件。对于二进制文件，这是唯一正确的方式。

5. Wireshark高级过滤与问题排查指南

掌握了基础抓包后，如何从海量数据中快速定位问题，是进阶的关键。Wireshark的显示过滤器（Display Filter）和统计功能是你的得力助手。

5.1 精准定位协议流量的显示过滤器

显示过滤器在抓包后使用，用于在已捕获的数据包中筛选出感兴趣的部分。它们比捕获过滤器更强大、更灵活。

• 针对Telnet：

  • tcp.port == 23：过滤出所有涉及端口23的TCP流量（包括非Telnet但用了23端口的异常流量）。
  • telnet：直接过滤出Wireshark识别为Telnet协议的数据包。这是最常用的。
  • tcp contains "login"：在TCP负载中搜索包含“login”字符串的数据包，可用于发现潜在的Telnet或其他明文登录流量。

• 针对TFTP：

  • udp.port == 69：过滤出所有涉及TFTP控制端口69的UDP流量。
  • tftp：直接过滤出TFTP协议包。
  • tftp.opcode == 1：专门查看读请求（RRQ）。
  • tftp.opcode == 3：专门查看数据包（DATA）。

• 组合过滤器：

  • ip.addr == 192.168.1.100 and telnet：只看服务器上的Telnet流量。
  • tftp and frame contains “test.txt”：查找涉及文件“test.txt”的TFTP操作。

5.2 典型问题场景与排查思路

在实际工作中，你可能会遇到以下问题，以下是如何利用Wireshark进行排查的思路：

场景一：客户端报告“连接被拒绝”或“连接超时”。

• 排查思路：
  1. 检查捕获过滤器：首先确认你的捕获过滤器没有错误地过滤掉了目标流量（例如，错误地写成了host 192.168.1.101）。
  2. 查看TCP握手：在Wireshark中过滤tcp.port == 23。如果能看到客户端发出的[SYN]包，但没有收到服务器的[SYN, ACK]回应，则问题可能在于：a) 服务器Telnet服务未启动；b) 中间有防火墙阻断了端口23；c) 服务器IP地址错误。
  3. 查看ICMP消息：如果服务器或中间设备主动拒绝，可能会返回[ICMP Destination unreachable (Port unreachable)]消息。这明确告诉你端口不可达。

场景二：Telnet登录后，输入字符无回显或显示乱码。

• 排查思路：
  1. 分析选项协商：查看连接建立后最初的几个Telnet数据包。可能是客户端和服务器在“回显”（Echo）或“行模式”（Linemode）选项上协商失败。服务器发送IAC WILL ECHO意味着服务器要处理回显，如果客户端不同意（IAC DONT ECHO），可能导致回显异常。
  2. 检查TCP流：打开TCP流，看你的击键是否被正确发送（显示为可读字符），以及服务器的回应是什么。有时乱码是由于客户端和服务器的字符集不匹配造成的。

场景三：TFTP传输文件失败，提示“File not found”或超时。

• 排查思路：
  1. 分析RRQ/WRQ包：找到客户端发出的请求包，确认请求的文件名和路径在服务器上是否存在且权限正确。TFTP服务器通常有严格的根目录限制（如/var/lib/tftpboot）。
  2. 查看ERROR包：如果服务器回复了ERROR包（Opcode=5），其中的错误码和信息会直接指明原因，如“File not found”(1), “Access violation”(2)。
  3. 检查ACK/DATA序列：如果传输中途失败，查看最后一个成功确认的块编号。可能是网络丢包导致某个DATA或ACK丢失，TFTP协议简单，没有复杂的重传机制，超时后即失败。在Wireshark中，你可以通过tftp.block == X过滤器追踪特定块编号的包是否正常收发。

场景四：抓不到任何预期的流量。

• 排查思路（逐层排查）：
  1. 物理/逻辑层：Wireshark选择的网卡是否正确？虚拟机网卡是否设置为桥接或Host-only模式，确保流量经过宿主机的该网卡？
  2. 网络层：客户端和服务器是否在同一IP网段？能否互相ping通？抓包时是否同时抓到了ping的请求和回复（ICMP包）？这能验证底层连通性。
  3. 捕获过滤器：确认没有设置过于严格的捕获过滤器。
  4. 服务状态：在服务器上使用netstat -tulnp | grep :23或ss -tulnp | grep :23确认服务是否在监听预期端口。

6. 安全启示与替代方案建议

通过本次实战，Telnet协议在安全上的“裸奔”特性已暴露无遗。在任何对安全有要求的现代环境中，使用Telnet进行远程管理都是不可接受的。其风险包括但不限于：密码嗅探、会话劫持、命令注入。

绝对安全的替代方案是SSH（Secure Shell）。SSH在功能上完全覆盖Telnet，但它在传输层和应用层之间加入了安全隧道，对所有通信（包括认证、命令、输出）进行强加密和完整性校验。在Wireshark中抓取SSH流量，你只能看到加密的乱码，无法直接解读其内容。将实验环境中的Telnet替换为OpenSSH，是迈向安全运维的第一步。

同样，TFTP由于其无认证和明文传输的特性，也不应用于传输敏感文件。SFTP（SSH File Transfer Protocol）或SCP是基于SSH的安全文件传输协议，是替代TFTP的绝佳选择。它们利用SSH建立的加密通道来传输文件，提供了认证、加密和完整性保护。

然而，理解这些“不安全”的协议并非没有价值。相反，它们是学习网络协议分析、理解网络安全重要性的绝佳教材。在封闭的、物理隔离的测试或工业网络（如某些PLC编程网络）中，由于设备老旧或协议固化，TFTP可能仍是唯一选择。在这种情况下，我们的抓包分析技能就派上了用场，用于调试传输故障、分析协议交互是否正常。

最后，分享一个我个人的排查习惯：在开始任何抓包分析前，先用一两分钟时间，在脑海中或纸上画出你预期的协议交互流程图（例如，TCP三次握手 -> Telnet协商 -> 登录 -> 命令循环）。然后，将Wireshark捕获的实际流量与你的预期流程图进行比对。任何偏离预期的部分（比如缺少一个ACK，多出了一个RESET），都可能是问题的根源。这种“先有理论预期，再与实际对照”的方法，能极大地提升你分析网络问题的效率和准确性。网络协议的本质是规则，而Wireshark就是让我们看清这些规则是如何在现实中运行——或被破坏——的显微镜。