应用层报文判读71 条

TLS 记录大小与分片判读

应用数据按记录封装（上限约 16KB）：Wireshark 里一个记录可能跨多个 TCP 段、一个 TCP 段也可能含多条记录：统计时按记录层而非段层。

用途	避免记录与段混淆
字段	tls.record.length / tls.record.content_type

观察

tls.record.content_type == 23   # Application Data
tls.record.length > 16000         # 关注非典型大记录

记录边界不保证对齐 TCP 段，重传分析以 TCP 层为准。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌