一、 实验背景与目的随着即时通讯软件的普及用户隐私安全日益受到关注。本次实验旨在通过 Wireshark 抓包工具对 PC 端及手机端 QQ 的通信流量进行捕获与分析。主要验证 QQ 通信所使用的传输层协议TCP/UDP、数据是否加密明文或密文并尝试分析传输文件恢复的可行性。二、 实验环境· 抓包工具Wireshark· 网络环境局域网 WiFi (WLAN)· 测试对象PC端 QQ、手机端 QQ· 操作动作发送文字消息、发送图片/文件PC-PC端PC-手机端三、 流量抓取与分析过程传输层协议分析UDP 还是 TCP在捕获的流量中应用 tcp 过滤器观察数据包列表。如图所示我们可以清晰地看到 QQ 的核心通信建立在 TCP 协议之上且目标端口主要为 443HTTPS/TLS 标准端口。· 分析抓包结果显示即使现代 QQ 可能在信令层面使用了 UDP但其主要业务数据如消息收发、文件传输绝大多数通过 TCP 协议进行可靠传输。同时在部分数据包中能看到 [TCP Retransmission]重传等特征体现了 TCP 保障可靠性的机制。数据加密性分析明文还是密文选中一个包含数据载荷的 TCP 数据包右键选择 “追踪流 - TCP流”。· 分析在弹出的追踪流窗口中我们无法看到任何可读的聊天文字或图片信息取而代之的是满屏的乱码十六进制和不可打印字符。此外在 Wireshark 的协议列中可以清晰看到 TLSv1.2 标记以及 Application Data 提示。这充分说明现代 QQ 采用了全链路 TLS 加密任何中间人抓包都无法直接窥探通信内容。!明文文件恢复尝试为了完成作业中“恢复可能为明文传输的文件”的要求我们尝试在数据包中寻找文件头特征码。对于常见的压缩包ZIP其特征码为十六进制的 504b0304。· 操作与结果我们在 Wireshark 中尝试搜索该特征码如过滤器输入但发现系统报错提示“不是有效的协议或字段”且通过字节流查找也无法提取出完整的明文文件。· 分析由于 QQ 的流量全程被 TLS 加密文件在发送前就已经被封装加密。因此在 Wireshark 中直接搜索文件头特征码如 JPG 的 ffd8ff 或 ZIP 的 504b0304是无效的常规手段无法恢复出明文文件。四、 实验总结与心得协议特征QQ 客户端主要依赖 TCP 443 端口进行通信保证了数据传输的可靠性。安全机制现代 QQ 具备极高的安全性全面采用 TLS 加密技术即使在公共 WiFi 等复杂网络环境下抓包也只能看到通信的源/目的IP、端口和数据包大小无法解析出真实的聊天内容和文件。文件恢复基于当前的加密机制传统的“通过搜索文件头提取图片/文件”的方法已彻底失效。心得体会通过本次抓包实验我直观地认识到了网络协议的运作方式也深刻体会到现代加密技术对个人隐私保护的重要性。作为网络安全的初学者流量分析不仅要掌握工具的使用更要理解背后的协议原理和加密机制。