协议分层统计
协议分层统计给出各层协议的包数与字节占比，用来快速确认抓包里有什么协议、大头在哪。它是分析陌生抓包文件时的侦察步骤，帮助决定后面该用哪些过滤条件往下钻，避免在不重要或者不可分析的流量上浪费时间。
基本信息
| 适用平台 | tshark，Linux 与 Windows 行为一致 |
|---|---|
| 语法 | tshark -r 文件 -q -z io,phs |
| 输出形式 | 按协议栈层次缩进的树形结构 |
| 用途 | 抓包内容构成速览 |
典型使用场景
- 拿到陌生抓包文件时的第一步勘察
- 确认加密流量占比，评估可分析的空间
- 发现协议占比异常，例如某协议突然变多
- 决定后续过滤策略与解码设置
- 与历史基线对比，判断流量结构是否变化
查看协议构成
查看协议构成
tshark -r a.pcap -q -z io,phs | head -40
# 按协议分层展开，先看顶层构成再往下看细节
tshark -r a.pcap -q -z io,phs -2 | head -40
# 复杂文件可开启两遍解析，得到更完整的分层结果
tshark -r a.pcap -q -z conv,ip | head -20
# 与主要会话分布结合，快速判断抓包覆盖范围观察方式
| 观察对象 | 含义 | 下一步 |
|---|---|---|
| 顶层协议占比 | 主要内容构成 | 决定后续过滤方向 |
| TLS 层占比 | 加密流量比例 | 占比高时考虑解密或换采集点 |
| 异常协议 | 端口误标或异常流量 | 先修正解码再判断 |
| 帧总数与平均长度 | 流量形态 | 与历史基线对比 |
协议占比异常是问题的切入点，但它只是线索不是结论。先确认解码是否正确，再看这个占比变化对应什么业务行为，顺序反了容易追着假线索跑。
协议分层是解析视角，加密流量只能到 TLS 层为止，别过度解读里面的统计。异常协议名往往只是端口误标造成的，先修正解码再下结论。
分析流程
- 先看协议分层的顶层构成，建立整体印象
- 标出占比最高的协议，评估其是否属于本次排查范围
- 对异常占比的协议先核对解码设置
- 与历史或对照组的抓包做结构对比
- 把结论落到具体的过滤条件上，再进入细节分析