PCAPdroid 抓包實戰問答：Android 網路流量一眼看穿

PCAPdroid 是什麼？

PCAPdroid 是 Android 上一款免費開源的網路流量抓包工具，由 Emanuele Faranda 開發，完整指南可參考 PCAPdroid官網。它透過創建虛擬 VPN 攔截手機上所有應用的網路連接，實時顯示連接記錄、流量走向、協定類型（TCP、TLS、DNS、QUIC 等），還能將封包資料導出為 PCAP 或 PcapNG 格式檔案，方便離線分析或匯入 Wireshark 進一步檢查。

這款工具適合對網路安全、隱私保護、應用除錯感興趣的各類使用者：資安人員可以用它檢測手機上的惡意連接；開發者可以除錯自家 App 的網路請求；普通用戶也能偶爾用它看看哪些 App 在偷偷跑後台流量、DNS 查詢是否正常。

安裝

PCAPdroid 支援 Android APK 安裝，最新版本 1.9.1，安裝包僅 6.55M。從 PCAPdroid下載 渠道獲取 APK 後，允許未知來源安裝即可。首次啟動時，PCAPdroid 會請求創建 VPNService——這是它工作的核心機制，不要拒絕授權，否則無法攔截流量。

如果你的設備已經有 Magisk root 環境，可以考慮開啟 Root 模式抓包，這種模式能繞過 VpnService 直接從物理網卡抓真實封包，可以和其他 VPN 應用同時運行，詳細差異在 PCAPdroid文檔 和後面的問題中都會講到。

常見問題速查

它能抓哪些流量？

PCAPdroid 透過 VpnService 攔截所有經過手機的網路封包，涵蓋 DNS 查詢（UDP 端口 53，明文可見）、TCP/UDP 連接、TLS/HTTPS 加密流量、QUIC 協定以及 MDNS 區域網路服務發現等。DNS 查詢內容在 Connections 列表中完整可見，包括域名、記錄類型和返回的 IP；TLS 加密流量未解密時只能看到 SNI 域名、目標 IP 和連接狀態，開啟 TLS 解密並安裝 CA 證書後，就能看到完整的 HTTP 請求與回應結構。

Root 模式和預設模式差在哪？

預設的 VpnService 模式不需要 root 權限，透過創建虛擬 VPN 攔截流量，支援 TLS 解密、防火牆規則和 DNS 自動檢測，但無法和其他 VPN 應用同時運行（Android 系統限制只允許一個活躍的 VPN）。Root 模式（自 v1.3.6 起提供）需要 Magisk root，直接從物理網卡抓真實封包，可以和 Orbot、WireGuard 等其他 VPN 共存，也能抓到 VpnService 可能遺漏的系統級流量，但代價是 TLS 解密、防火牆和 DoH 域名可見性都不可用——因為 Root 模式下沒有 SOCKS5 代理機制，mitmproxy 無法介入流量。

TLS 解密怎麼開？

PCAPdroid 採用 mitmproxy 風格的 TLS 解密方案。第一次開啟解密功能時，應用會引導你生成並安裝自簽名 CA 證書到 Android 系統信任存儲，這是解密 HTTPS 流量的必要條件。部分應用（如銀行類、支付類）可能實作了證書綁定，即使安裝了 CA 證書也會拒絕連接，這種情況下 PCAPdroid 會顯示證書信任錯誤。解密成功後，連接列表中的 TLS 圖示旁會出現綠色鎖，進入詳情面板能看到 HTTP 請求方法、路徑、Header 和 Body 的結構化視圖。注意 QUIC 協定（基於 UDP 的新傳輸層，被 Chrome、Google 全家桶採用）目前不支援解密，你可以在 TLS 解密設定面板中主動阻斷 QUIC，讓應用回退到 TLS 1.3 協定，此時就能正常解密了。

有哪些常見坑要注意？

主要有四個。第一，DNS 泄漏與系統應用流量遺漏：Android 底層的 netd 守護進程會代應用發起 DNS 查詢，這部分流量的 UID 歸屬不明确，App 標籤頁的統計可能遺漏這些查詢，但 Connections 列表中仍然能看到明文 DNS 內容。第二，DoH 衝突：PCAPdroid 預設自動檢測並阻斷 DNS-over-HTTPS，因為不阻斷就看不到明文 DNS 查詢，但某些應用可能因此 DNS 解析失敗，需要手動在設定中放行。第三，Root 模式下短連接 UID 丟失：即使在 Root 模式，某些一次性探測、快速關閉的短連接也會顯示為「未知」，導致 App 過濾規則可能遺漏這些連接。第四，證書信任錯誤：有證書綁定的應用無法被解密，這是 Android 安全機制決定的，PCAPdroid 無法繞過。不過這些坑在日常使用中影響有限，主要的 HTTP/HTTPS 流量、DNS 查詢都能正常抓獲。

要不要付費？

PCAPdroid 的核心功能完全免費開源，支援者可透過一次性付費解鎖進階功能：Pcapng 格式（相比普通 PCAP 能保留連接方向資訊，避免 Source/Destination 對調問題）、自動化抓包排程、進階過濾規則、JS 注入器等。免費版已涵蓋日常使用的全部場景——連接監控、DNS 可見性、TLS 解密、基本防火牆都能正常使用。付費版主要面向需要高級封包分析或自動化的專業使用者。

和同類工具怎麼比？

相比 tcpdump（傳統命令列抓包工具，需要 root），PCAPdroid 有直觀的圖形介面、自動識別連接類型、支援 TLS 解密和防火牆規則，對新手友好得多。相比其他 Android 抓包 App，PCAPdroid 的優勢是開源透明（無隱藏功能）、輕量精簡（APK 僅 6.55M）、無廣告、持續更新（最近版本 1.9.1 更新於 2026-09-22）。缺點是 QUIC 解密尚未原生支援，Root 模式下 TLS 解密和防火牆不可用，以及 VpnService 模式無法與其他 VPN 共存。

值不值得長期用？

如果你對手機網路安全、隱私保護或應用除錯有實際需求，PCAPdroid 是 Android 平台上最好的選擇之一——免費、開源、功能完整、更新積極，沒有任何同類工具能同時滿足這些條件。即使是普通用戶，偶爾用它檢查一下後台流量、排查應用聯網問題，也很有用。唯一不適合的是完全沒有抓包基礎的純新手，可能需要先花點時間理解連接類型、協定概念和 TLS 解密機制，上手門檻略高於一般的系統工具。

本文为个人基于网络公开资料整理编写，非官方内容，仅供学习交流参考；软件版权归原作者所有，请支持正版；使用过程中遇到问题请查阅官方渠道，本文不承担任何责任。