当我在Linux上使用wireshark或tcpdump捕获网络数据包时，通常会保存分段的TCP，wireashark可以重新组合(只要Edit-> Preferences-> Protocols ...具有此选项)检查协议，例如HTTP)。

但是，我认为TCP / IP协议栈会在将数据包交付给用户应用程序之前重新组装数据包，例如WEB浏览器。

所以我的问题是：捕获数据包是否绕过TCP / IP堆栈的某些部分？

简短答案：是

更长的答案："数据包捕获"不会干扰正常的数据包处理-它只是在数据包通过内核时对其进行复制。发生这种情况的通常位置是在设备驱动程序和网络堆栈之间，但是根据您设置过滤的方式，它也可能发生在其他位置。