问如何过滤TLS“应用程序数据”数据包的PCAP？
EN

Security用户

提问于 2017-06-18 15:56:21

回答 1查看 3.3K关注 0票数 2

我有一个包含加密通信量的pcap文件。

我想过滤包含应用程序数据的SSL数据包。请注意，我不想解密通信量，而只想记录已加密数据的数据包。最初，我在TLS记录中使用内容类型字段(value =23)来过滤掉这样的流量。

但是，在pcap中，我观察到不同内容类型的数据包，如12、108、73等，但我找不到它们从RFC中表示什么。

发布于 2017-06-18 18:45:42

我检查了所提供的pcap并计算了SSL流量中使用的ContentType：

$ tshark -O ssl -r youtube_song_wireshark.pcap tcp.port == 443 |\
grep 'Content Type' | sort | uniq -c

这给了我64 x警报(21)，86 x ChangeCipherSpec(20)，362 x握手(22)，2188 x ApplicationData(23)。它没有给出您在分析中看到的任何内容类型。

在注释中，您提供了基于替罪羊的分析返回的结果的以下片段：

<SSL records=[<TLSRecord content_type=51 version=0x70c2 length=0x3c44 |<TLSCiphertext ...>

考虑到不存在SSL/TLS版本0x70c2，但是版本应该在0x0300 (SSL 3.0)到0x0303 (TLS 1.2)之间，我怀疑您将数据解析为SSL，而SSL根本不是SSL，因此得到了这样一个奇怪的结果。在您提供的pcap中有几个非SSL通信量。

票数 5

页面原文内容由Security提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://security.stackexchange.com/questions/162209

复制

相似问题

问如何过滤TLS“应用程序数据”数据包的PCAP？EN