使用网络分析器捕获数据包内容

Question

我需要捕获https流量。特别是客户端问候消息。但我需要分析他们的内容。我了解了wireshark。如何从数据包内容中提取数据？即客户端内容？该工具显示数据包。如果我点击它们，我会看到更多信息，但是如何聚合它们。即我需要所有length条消息的字段client hello（如图所示）？ 有没有工具可以这样做？或者Wireshark可以做这个功能吗？

编辑：在图片中，这是一个客户端问候消息。我需要一些像长度这样的数据。如何提取并聚合大流量？ Image for illustration

Answer 1

您可以使用过滤器“ssl.handshake.type == 1”的wireshark执行此操作。这将为您提供所有客户端Hello数据包。从那里，您可以手动检查客户端问候消息，或者甚至可以在客户端问候消息中将任何字段设置为Wireshark中的列。要执行此操作，请深入查看要查看的字段之一。右键单击该字段，然后选择“应用为列”。

如果要以编程方式执行此操作，还可以编写使用libpcap捕获数据包的程序。这是更多的工作，因为您必须自己手动剖析数据包。