流量分析与PCAP取证

当网络捕获开始“说谎”

抓包文件损坏、协议字段混乱、敏感数据藏在流量里——这些不是理论问题。PCAP 文件被截断时，Wireshark 直接拒绝打开；HTTPS 流量看起来只是一堆 TLS 握手，手动找凭据如同大海捞针；DNS 查询里藏着隧道数据，肉眼根本看不出来。工程师常困在“能打开但看不出”的尴尬里。

技能如何工作：从修复到取证

• PCAP 修复：通过 tcpdump -r 或 Wireshark 的“Repair”功能恢复损坏头，让抓包文件重新可用。
• 协议过滤器：针对 HTTP/DNS/FTP 等协议，提供即用型过滤规则，比如 http.request.method == "POST" 快速定位登录请求，或 dns.qry.name contains "example.com" 追踪可疑域名。
• 数据提取：用 foremost 或 scalpel 从流量中雕刻文件，从 HTTP POST 中提取用户名/密码，或从 ICMP 载荷中识别隐蔽通道。
• TLS 解密：结合密钥日志或会话密钥，还原 HTTPS 明文，看到攻击者的真实交互。

适用边界与注意点

• 需要原始抓包文件（.pcap/.pcapng）和上下文（如攻击时间、目标 IP）。
• TLS 解密依赖密钥文件或会话信息，无密钥时只能看握手元数据。
• DNS 隧道检测需要基线对比，误报需人工确认。
• 复杂场景（如内存与流量关联）需加载 memory-forensics-volatility，本技能聚焦流量层。