流量与样本溯源43 条

会话流重组导出

分析前先把单条会话的字节流重组出来：流级别看语义（请求响应、命令回显）比逐个包看高效。

用途	把会话还原成可读文本
工具	tshark follow / Wireshark 追踪流

导出 TCP 流

tshark -r sample.pcap -q -z conv,tcp | head -20
tshark -r sample.pcap -z follow,tcp,ascii,0

二进制载荷导出后用 file 识别类型，别强行按文本读。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌