流量与样本溯源43 条

在 pcap 中按 Host 提取请求

按 Host 或 URI 关键字在 pcap 里定位请求，是外联分析的常用入口：先找到会话，再回看完整流与请求体。

字段提取	http.host、http.request.uri、http.user_agent
回看	follow 流或导出对象

定位会话

tshark -r traffic.pcap -Y 'http.host contains "example"' -T fields -e frame.time -e ip.src -e http.host -e http.request.uri | head -10

HTTPS 无解密时只能看 SNI 与证书字段，HTTP 明文才能读 Host 与 URI。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌