Wireshark网络安全流量分析（二）

如果你已经能用 Wireshark 打开一个抓包文件、按 IP 或端口过滤出几条会话，却在一道流量分析题面前卡住——知道要看 HTTP，但不知道该看请求头还是响应体；知道 HTTPS 加密了，但不知道还能从握手阶段抠出什么——那这门课针对的就是这个缺口。它是「Wireshark 网络安全流量分析」的第二部分，前提是你已经过了「会点会看」的阶段，现在要解决的是「看得懂、找得到、答得出」。

先确认你缺的是不是这一块

流量分析的能力缺口通常分三层。第一层是工具操作：抓包、过滤、追踪流、导出对象，这些靠短期练习就能补上。第二层是协议细节：HTTP 的状态码、头部字段、分块传输；SSH 的版本协商与密钥交换过程；TLS 握手里 Client Hello、Server Hello、证书、密钥交换各自出现在哪一步。第三层是题目意识：给你一个包，你知道出题人埋点一般埋在哪，是被篡改的 User-Agent，还是异常长度的 Cookie，还是一段没走标准端口的明文传输。

这门课主要补的是第二层和第三层。它把 HTTP、SSH、HTTPS 这几个在比赛题里出现频率最高的协议拆开讲，并且明确对标高职技能大赛和 CTF 的流量分析题型。所以如果你连基本的显示过滤器都写不利索，建议先把第一部分或基础操作过一遍再进来；如果你已经能独立追踪 TCP 流，但面对 TLS 加密流量就束手无策，那这里正好接得上。

HTTP：不是只有 GET 和 POST

很多人对 HTTP 的理解停留在「请求行 + 请求头 + 空行 + 请求体」。但比赛题不会考这个。它会考你：为什么同一个页面抓到了多条请求，哪些是重定向、哪些是加载的静态资源；响应里的 Content-Encoding 是 gzip 时，Wireshark 里怎么还原出可读内容；分块传输（chunked）的包在追踪流里长什么样，边界在哪里。

更关键的是头部字段的异常识别。正常的 User-Agent 有固定格式，被伪造成一句话或者超长字符串的，往往就是线索。Cookie 里塞了 Base64 或十六进制串的，要能一眼看出「这不像正常会话标识」。这些判断没有捷径，只能靠见过足够多的正常样本，才能对异常敏感。课程里的案例就是用来建立这种正常样本的。

SSH 与 HTTPS：加密不等于什么都看不见

这是流量分析里最容易放弃的部分——一看是加密流量，就觉得没戏了。其实不然。

SSH 在建立连接时有明文阶段：协议版本交换是明文的，你至少能判断对端用的是 SSH-1 还是 SSH-2；密钥交换算法协商的过程也能看到，能识别出是否用了已知的弱算法。如果题目给了私钥或者你能从其他线索推导出密钥，Wireshark 是可以解密的，这个配置过程本身就是考点。

HTTPS 同理。TLS 握手阶段的 SNI 字段会暴露客户端想访问的域名，即便流量整体加密；证书里的颁发者、有效期、SAN 列表都是明文可读的。如果题目提供了服务器私钥（或者用了 RSA 密钥交换），在 Wireshark 里配置后就能解开应用层数据。课程会讲到这些配置在哪、什么条件下有效——这一点很多人知道概念，真到操作时找不到入口。

看完你应该能回答的问题

• 给一个混有 HTTP 和 TLS 的包，你能在几分钟内定位到明文传输的敏感信息在哪条流里吗？
• 看到一段 gzip 压缩的响应体，你知道在 Wireshark 里怎么导出并解压，而不是复制出乱码吗？
• TLS 握手包里，哪几个字段是明文可读的？SNI 在哪个消息里？
• 什么情况下 Wireshark 能解密 HTTPS？RSA 密钥交换和 ECDHE 有什么区别，为什么后者解不开？
• 一道 CTF 流量题给你 20 分钟，你的排查顺序是什么——先过滤协议，还是先追踪流，还是先看统计？

如果这些问题你只能答出一半，那这门课的练习值得做一遍。不是为了看完，是为了在限时条件下形成固定的排查动作。