5 798
المشتركون
-2524 ساعات
-657 أيام
-30230 أيام
أرشيف المشاركات
5 798
PCAP 分析总结（QQ 风控/登录相关流量）
这个 PCAP 是用 PCAPdroid 抓的，主要捕获了 QQ 9.3.5（V1_AND_SQ_9.3.5_14540_YYB_D） 在 Android 12（设备型号 PFVM10）上的网络行为。符合你描述的“干净设备 + 新 SIM + 登录”场景测试。
1. 主要域名和服务器（Tencent 风控/遥测体系）
trace.inlong.qq.com / h.trace.qq.com：核心信令/追踪服务器（inlong 是腾讯内部大数据/行为分析平台）
tdid.m.qq.com：设备指纹/TDID（Tencent Device ID）相关，强绑定设备
graph.qq.com：账号图谱/关系链/风控决策
tpstelemetry.tencent.com / rmonitor.qq.com：遥测、性能监控、异常上报
其他 Tencent Cloud 节点
这些都是 QQ 风控的核心链路，专门用来比对设备环境 + SIM 信息 + 账号历史。
2. 客户端特征（User-Agent）
http
Mozilla/5.0 (Linux; Android 12; PFVM10 Build/SP1A.210812.016; wv) ... QQ/9.3.5.37250 NetType/WIFI ...明确上报 Android 12 + 具体 Build + NetType/WIFI X-Requested-With: com.tencent.mobileqq（标准 QQ 包名） 3. 与你描述场景的对应 你提到的几种测试场景（新 SIM A 登录、新 SIM B、无卡/WiFi-only、ROOT+Hook 等）在这个 PCAP 中很可能被触发了以下检测点： SIM/IMSI 不匹配：客户端会读取 TelephonyManager.getSubscriberId()（IMSI）、手机号等，上报给服务端。如果账号 A 的历史绑定 SIM 与当前设备上报的不一致 → 高概率触发“异常登录”或二次验证。 无 SIM（飞行模式/WiFi-only）：getSubscriberId() 返回 null/空 → 腾讯很多强风控模块直接视为“虚拟机/黑设备/无实名环境”，拦截概率极高。 设备指纹一致性：TDID、Android ID、IMEI（即使 Hook 了）、MAC、WiFi SSID/BSSID 等都会被收集并与历史比对。 WUP 协议 + RSA：看到 bea_key、rsapost、TYPE_COMPRESS 等，是 QQ 的 WUP（Wire Universal Protocol）加密信令，里面打包了大量设备/环境信息。 4. 建议（基于这个 PCAP 的观察） 基线环境（你说的第一阶段）确实最稳：全新出厂 + 官方实名 SIM A + 同一 WiFi，一键登录/验证码登录成功率最高。 换 SIM B：服务端会明显看到“账号 A + 当前 SIM B”的不匹配，基本必触发风控（正如你所说）。 无卡/WiFi：几乎肯定被拦截，除非目标 App 风控较弱。 ROOT + XPrivacyLua / LSPosed：虽然能伪造部分字段，但腾讯会检测 Magisk、框架模块、Hook 痕迹（模块名、LSPosed 等），复合异常更容易被秒。 下一步建议： 用 Wireshark（本地）打开这个 PCAP，重点过滤 trace.inlong.qq.com 和 tdid.m.qq.com 的请求，看具体 POST body（Protobuf 格式）。 关注是否有 risk、verify、abnormal 等关键词的上报。 如果你要绕，重点是保持 SIM + 设备 + 网络环境的历史一致性，而不是单纯 Hook 单字段。 需要我帮你进一步提取具体请求（比如某个域名下的完整 HTTP 请求）、查找特定字段，或者分析后续绕过思路吗？把 PCAP 更具体的部分描述一下（或想看哪个域名的流量）即可
5 798
这份 Wireshark 抓包作业完整处理教程（大学生网络课适用）
先看懂截图里的抓包内容，再分步骤教你怎么分析、写作业报告。
一、先看懂你截图里的数据包信息
1. 两种网络协议：IPv6 + IPv4
第 1、2 帧：IPv6 TCP 连接被拒绝
帧 1：源 IPv6
fd00:2:fd00:1:fd00::1 端口 44068 向目标 IPv6 2606:4700:4700::1111 853 端口发 SYN 握手包（请求建立 TCP 连接）
帧 2：服务器直接回 RST,ACK
RST = 重置连接，代表服务器拒绝你的连接请求，端口 853（DNS over TLS 加密 DNS）没开放 / 防火墙拦截。
3~12 帧：IPv4 TCP 正常完整通信（绿色会话）
内网设备 10.215.173.1（客户端端口 38712） 和 公网服务器 119.147.190.138（80 端口 HTTP）完整 TCP 流程：
帧 3：客户端发 SYN（发起连接）
帧 4：服务器回 SYN+ACK（同意连接）
帧 5：客户端 ACK（三次握手完成，连接建立）
帧 6/8：客户端 PSH+ACK（推送 HTTP 数据，Len=26、3，发送请求报文）
帧 7/9：服务器 ACK 确认收到数据
帧 10：服务器 PSH+ACK 返回业务数据（Len=20）
帧 11：客户端确认收到回包
帧 12：新的一次 SYN，准备新建第二条 TCP 连接
关键知识点（作业必写）
[SYN]：TCP 建立连接第一次握手
[SYN,ACK]：第二次握手
[ACK]：确认报文，第三次握手 / 数据确认
[PSH,ACK]：推送数据，上层应用（浏览器 / APP）实际传输业务数据
[RST,ACK]：强制断开、拒绝连接，目标端口不可达 / 服务关闭
二、基础操作步骤（打开 pcap 文件 + 基础分析）
步骤 1：打开抓包文件
安装 Wireshark（官网免费下载，适配 Windows/Mac）
打开软件 → 文件→打开，选中你的 PCAPdroid_28_6月_10_08_11.pcap
你现在已经成功打开了，PCAPdroid 是安卓手机抓包工具，这份文件是手机流量抓包。
步骤 2：过滤流量（作业最常用筛选语法）
在顶部「应用显示过滤器」输入框填下面命令，回车筛选：
只看 TCP 流量：tcp
只看 IPv4：ip；只看 IPv6：ipv6
筛选 80 端口 HTTP：tcp.port == 80
筛选被重置的连接：tcp.flags.reset == 1（对应截图第 2 帧 RST 包）
筛选三次握手：tcp.flags.syn == 1（所有 SYN 包）
步骤 3：单包详细分析（左下角面板）
选中任意数据包，下方分三块：
分组列表：所有数据包概览（截图上方表格）
分组详情（左下）：分层解析链路层→IP 层→TCP / 应用层
Ethernet：二层 MAC 地址
IPv4/IPv6：三层源目地址
TCP：四层端口、序列号、标志位（SYN/ACK/RST/PSH）
分组字节流（右下）：原始十六进制数据包内容
三、老师大概率会布置的作业问题 & 答题模板
题型 1：描述 IPv6 连接（帧 1、帧 2）发生了什么？
答：
客户端 IPv6 地址 fd00:2:fd00:1:fd00::1 使用临时端口 44068，向公网 IPv6 地址 2606:4700:4700::1111 的 853 端口发送 TCP SYN 报文，尝试建立 DoT 加密 DNS 连接；
目标主机返回 RST+ACK 报文，RST 标志位置 1，代表服务器主动拒绝本次 TCP 连接，连接建立失败；
失败原因可能：目标服务器 853 端口未监听、防火墙拦截 IPv6 访问、该 IP 不提供 DNS over TLS 服务。
题型 2：分析 IPv4 10.215.173.1 ↔️ 119.147.190.138 的完整 TCP 流程（帧 3~11）
答：完整 TCP 三次握手 + 数据传输过程：
三次握手建立连接
帧 3：客户端 10.215.173.1 [SYN]，Seq=0，发起连接请求；
帧 4：服务器 119.147.190.138 [SYN,ACK]，确认客户端序列号并同步自身序列号；
帧 5：客户端 [ACK]，确认服务器序列号，握手完成，TCP 通道建立；
应用数据交互
帧 6、帧 8：客户端发送 PSH+ACK，携带 HTTP 请求数据（Len 为载荷长度），PSH 表示立刻向上层应用交付数据；
帧 7、帧 9：服务器单独 ACK，确认已接收客户端发送的请求；
帧 10：服务器 PSH+ACK，携带服务器返回的 HTTP 响应数据；
帧 11：客户端 ACK 确认收到服务器响应，单次业务交互完成；
帧 12 出现新的 SYN 包，客户端发起第二条独立 TCP 连接。
题型 3：解释 TCP 标志位 SYN/ACK/PSH/RST 含义
SYN：同步序列号，仅连接建立阶段使用；
ACK：确认应答，所有传输报文几乎都会携带，告知对方数据已收到；
PSH：推送，缓冲区数据立即交给上层应用，代表承载实际业务数据；
RST：重置，强制断开连接，拒绝连接、异常断连时出现。
四、作业报告完整结构（直接套用）
实验环境：Wireshark + PCAPdroid 安卓抓包文件，捕获手机移动网络流量；
抓包文件概述：包含 IPv6、IPv4 双栈 TCP 流量，分为失败 IPv6 连接、正常 IPv4 HTTP 会话两部分；
流量分段详细分析
第一部分：帧 1-2 IPv6 TCP 连接失败（RST 重置）
第二部分：帧 3-12 IPv4 完整 TCP 握手 + HTTP 数据传输；
关键协议知识点总结（TCP 三次握手、标志位、IPv4/IPv6 双栈区别）；
实验结论：
IPv6 访问 853 DoT 服务被服务器拒绝；
IPv4 环境下 TCP 协议可正常完成连接建立与应用层数据交互，PSH 报文承载用户真实网络请求与响应。
五、进阶操作（加分项，老师会喜欢）
追踪 TCP 流：选中帧 6（HTTP 数据包）→右键→追踪→TCP 流，直接看到明文 HTTP 请求文字；
统计流量：顶部菜单「统计」→流量图 / 会话，统计所有 TCP 会话数量、流量大小；
导出数据：把关键数据包（SYN、RST、PSH）截图，插入作业报告。
补充小提示
你的抓包文件来自 PCAPdroid（安卓手机抓包工具），10.215.173.1 是手机内网地址，119.147.190.138 是外网 HTTP 网站服务器；853 端口是 DNS over TLS 加密 DNS 专用端口，这个 IP 拒绝访问说明它不提供加密 DNS 服务。
需要我帮你写一份完整可直接上交的实验报告正文吗？