| 用途 | 加密流量的目标线索提取 |
|---|---|
| 字段 | server_name / issuer / validity / SAN |
列出清单
列出清单
tshark -r sample.pcap -Y 'tls.handshake.type==1' -T fields -e tls.handshake.extensions_server_name | sort | uniq -c | sort -rn | head证书字段可仿冒，作线索用；结论要结合时间与主机侧证据。
TLS 证书与 SNI 线索
握手里的 SNI 与服务器证书给出访问目标线索：自签证书、异常签发者与短期证书在恶意基础设施中常见。
易错点
- 证书可能是合法自签，先查内部资产登记再下结论
- ECH 会隐藏 SNI，遇到时改用 IP 与证书指纹维度
数据来源与参考
- RFC 6066（SNI）
- RFC 5280（证书字段）