1. 使用 Wireshark 抓包

1.1. 启动 Wireshark

1. 打开 Wireshark。

2. 选择正确的网络接口（一般是连接 FTP 服务器的网卡）。

3. 配置捕获过滤器，输入：
• 这是为了捕获 FTP 控制连接和数据连接的流量。

1.2. 开始抓包

1. 点击 “Start” 开始捕获。

2. 在 FTP 客户端中执行文件下载操作（通过 RETR 命令下载文件）。

3. 文件下载完成后，回到 Wireshark 并点击 “Stop” 停止抓包。

2. 分析并提取 FTP 数据包

2.1. 定位文件传输的 TCP 会话

1. 在 Wireshark 的过滤器中输入：
查看 FTP 的控制流量，找到 RETR 命令及其对应的文件名。
• 示例：RETR example.txt
• 记录此时的 服务器 IP 和 数据端口号（通常是 TCP 动态端口）。

2. 在过滤器中输入以下命令，定位文件的实际传输数据：
• 替换 <FTP服务器IP> 和 <数据端口> 为实际值。

2.2. 提取数据流

1. 右键点击任意一个数据包，选择 “Follow” > “TCP Stream”。

2. 在弹出的窗口中，选择：
• "Show data as Raw"（以二进制数据显示）。
• 点击 “Save as” 保存为文件，文件名为 ftp_raw_data.bin。

3. 使用 WinHex 恢复文件

3.1. 打开 WinHex

1. 启动 WinHex 软件。

2. 通过 "File" > "Open" 打开刚刚保存的 ftp_raw_data.bin 文件。

3.2. 分析文件数据

1. 查找文件头：
• 使用 WinHex 的文件头签名功能查找文件类型的特征。常见文件头：
• JPEG: FF D8 FF
• PNG: 89 50 4E 47
• TXT: 无文件头，可直接读取。
• 如果文件头不明确，可通过 ASCII 窗口查看文本提示（例如文件名或其他元信息）。

2. 裁剪文件数据：
• 找到文件头后，记下偏移量（Offset）。
• 如果文件尾有特定签名（如 IEND 对于 PNG），找到文件结束偏移量。
• 选择 "Edit" > "Define Block"，定义要裁剪的数据块范围。

3.3. 保存恢复的文件

1. 选择定义好的数据块，点击 "Edit" > "Copy Block" > "Into New File"。

2. 保存为适当的文件名和扩展名（如 example.png 或 example.txt）。

3. 打开文件，验证是否可以正常使用。

4. 注意事项

1. 数据流量完整性：
• 如果抓包时丢失了某些数据包，恢复的文件可能损坏或不完整。
• 可通过 Wireshark 的统计工具检查丢包情况。

2. 二进制文件：
• 对于二进制文件，确保文件头和尾部数据完整。如果文件无法打开，可尝试手动修复文件头。

3. 分段问题：
• 如果 TCP 数据包过多或分段明显，WinHex 提取前应先用工具如 reassemble-tcp-stream 重组流。

5.向ftp上传文件，利用wireshark抓包并恢复文件

5.1 打开wireshark软件准备抓包

5.2 上传文件至ftp服务器

5.3 筛选

5.4 追踪流

5.5 选择原始数据

5.6 另存文件

5.7 winhex打开bin文件

6. 抓取html数据相对而言可以简单一些

6.1 随便上个网站 http访问

6.2 抓取并筛选数据

6.3找到对应记录

6.4 右键Line-based text data———导出分组字节流

6.5 在对话框里写入文件名及文件类型

6.6 打开test.html文件，就会看到具体内容了