emanuele-f/PCAPdroid

PCAPdroid 是一款开源 Android 应用，用来查看手机上其他应用连接了哪些地址。它记录连接、按应用汇总流量、从 DNS/TLS/HTTP 中提取主机名，还能把流量写成 PCAP 文件或实时转发给分析器。它适合在未 root 的手机上做设备内网络检查与抓包分析或安全审查。

抓包机制

应用在设备上运行一个本地 VPN，把流量导入自己的捕获路径；不使用远程 VPN 服务器，数据在本地处理（README）。非 root 抓包依赖精简的 TCP/IP 栈（zdtun），连接元数据由 nDPI 深度包检测提供（技术栈）。覆盖范围是设备上用户应用和系统应用的流量。root 设备只增加一项能力：在其他 VPN 应用运行时仍能抓包（功能列表）。

可以对流量做什么

• 实时连接日志，按应用汇总收发数据量，目标是可以低功耗持续全天运行。
• 从 DNS、TLS 和 HTTP 中提取主机名和 IP；检查 HTTP 请求与响应并导出为 HAR。
• 带应用元数据录制为 PCAP，或通过 PCAP-over-IP 发送到 Wireshark 分析；用离线数据库识别远端服务器的国家和 ASN。
• 解密 HTTPS/TLS 流量并保存 SSLKEYLOGFILE 供后续分析。

README 建议做数据包分析的用户先阅读手册中的专门章节（抓包分析指南）。安装渠道包括 F-Droid 和 Google Play，另有用于预发布功能的 F-Droid beta 仓库（下载方式）。

付费功能与许可

按应用、域名或 IP 拦截的防火墙规则、使用第三方黑名单的恶意连接检测，以及 PCAPng 导出属于付费功能（付费功能、恶意检测、PCAPng）。项目采用 GPL-3.0 许可；根据仓库元数据，再分发修改版会承担常规的 copyleft 义务。

要求与限制

这是一个 Android 应用而非桌面工具；抓包机制依赖 Android VPN 服务，因此在未 root 的设备上会与其他已启用的 VPN 冲突。TLS 解密基于本地代理（mitmproxy），只适用于能被引导走该代理路径的流量，并非通用解密器。所给 README 摘录没有说明最低 Android 版本、流量处理失败或回滚后果，当前支持范围请查阅用户指南。一位 2021 年的 HN 评论者称，抓包运行期间 Wi-Fi 断开后，DNS 设置被忽略并改用默认解析器——这是较旧的观察，可能已不适用（HN 评论）。

HotRepo 点评

在提供的样本中，该仓库仅一次登上每日榜单（2026-10-31，5,024 stars，当日 +7），记录的历史太短，无法描述趋势。热度本身不能证明它适合特定设备或 Android 版本。