烬

不对

那咋搞 我看看ai咋说

不算

这算是用DNS规则拿到的吗

我建议你用 DNS 规则拿到了 I dns.a 字段建议马上用 IP 反查过滤 ip addr == 拿到的IP 这样可以无视协议加密把后续所有 TCP或者TLS 连接都列出来 方便观察上报数据包的大小和频率

规则本身没有问题

这是我用豆包给的第一个方法找到的服务器

DNS 过滤规则：匹配 QQ 埋点域名 DNS 查询，抓域名解析 IP plaintext

dns.qry.name contains "trace.inlong.qq.com" || dns.qry.name contains "tdid.m.qq.com" || dns.qry.name contains "h.trace.qq.com" || dns.qry.name contains "graph.qq.com"

TLS SNI 过滤规则：匹配 HTTPS 握手明文域名，无视 DNS 缓存直接抓对应 QQ 埋点流量 plaintext

tls.handshake.extensions_server_name contains "trace.inlong.qq.com"

一、场景 1：Wireshark 抓包（最常用，排查域名 IP、流量） 1. DNS 规则用法（获取域名解析 IP） 打开 Wireshark，选择网卡开始抓包 顶部过滤栏直接粘贴完整 DNS 语句： plaintext

dns.qry.name contains "trace.inlong.qq.com" || dns.qry.name contains "tdid.m.qq.com" || dns.qry.name contains "h.trace.qq.com" || dns.qry.name contains "graph.qq.com"

回车执行过滤，页面只会保留 4 个域名的 DNS 请求 / 响应包 查看 IP：点开任意 DNS Response 包 → dns.a 字段就是该域名解析出的服务器 IP 2. TLS SNI 规则用法（抓 HTTPS 加密流量，DNS 失效时用） 过滤栏输入 SNI 规则： plaintext

tls.handshake.extensions_server_name contains "trace.inlong.qq.com"

回车过滤，筛选出访问该域名的 TLS 握手包 查看目标服务器 IP：数据包详情 → IPv4 → Destination 即为后端服务器 IP 多域名批量 SNI 写法（一次性匹配 4 个） plaintext

tls.handshake.extensions_server_name contains "trace.inlong.qq.com" || tls.handshake.extensions_server_name contains "tdid.m.qq.com" || tls.handshake.extensions_server_name contains "h.trace.qq.com" || tls.handshake.extensions_server_name contains "graph.qq.com"

报错解决（你说的扔过滤器报错） 错误 1：引号复制带全角符号 → 全部改成英文双引号 " " 错误 2：少打 || 分隔符、括号错位 → 直接复制我上面整理好的完整语句 错误 3：软件版本过低无tls.handshake.extensions_server_name字段 → 更新 Wireshark 到最新版 二、场景 2：Clash/Mihomo 流量规则（屏蔽 QQ 埋点广告 / 上报） 方式 1：SNI 规则（匹配 HTTPS 握手域名） plaintext

SNI,trace.inlong.qq.com,REJECT
SNI,tdid.m.qq.com,REJECT
SNI,h.trace.qq.com,REJECT
SNI,graph.qq.com,REJECT

方式 2：DNS 域名规则（拦截域名解析） plaintext

DOMAIN,trace.inlong.qq.com
DOMAIN,tdid.m.qq.com
DOMAIN,h.trace.qq.com
DOMAIN,graph.qq.com

使用：粘贴到规则文件，重启内核生效，直接阻断对应上报域名。 三、场景 3：防火墙 / OpenWrt 防火墙过滤规则（阻止设备访问） DNS 拦截：用域名匹配拦截 DNS 查询； TLS SNI 拦截（OpenWrt+nftables）：导入 tls sni 匹配规则，丢弃握手包； 拿到 IP 后补充 IP 黑名单：把 DNS 解析出来的dns.a IP 批量加入防火墙封禁列表。 四、核心操作流程（你需求：拿到域名服务器 IP） 打开 Wireshark，粘贴完整 DNS 过滤语句抓 DNS 包 从 DNS 应答包提取每个域名对应的服务器 IP 若 DNS 无记录（缓存 /hosts 劫持），切换使用TLS SNI 过滤语句 从 TLS 握手包的目标地址获取真实后端 IP 补充说明 trace.inlong.qq.com、tdid.m.qq.com、h.trace.qq.com、graph.qq.com 均为 QQ 用户行为上报、埋点统计、广告数据域名； DNS 规则只抓域名解析过程，SNI 规则能直接捕获加密 HTTPS 连接，不受本地 hosts、DNS 缓存影响； 所有规则符号必须是英文半角，中文引号、多余空格是过滤器报错的主要原因。

问豆包去 有点饿

用 TLS 握手信息 SNI 过滤 任何 HTTPSandTLS 流量在握手阶段Client Hello客户端会明文告诉服务器自己要访问哪个域名 这个字段叫 SNI tls.handshake.extensions_server_name contains "trace.inlong.qq.com"

扔哪

这个扔过滤器报错

dns.qry.name contains "trace.inlong.qq.com" dns.qry.name contains "tdid.m.qq.com" dns.qry.name contains "h.trace.qq.com" || dns.qry.name contains "graph.qq.com" 用这个方法 你能拿到这些域名解析出的服务器 IP 地址

所以我们该怎么抓DNS和TLS

傻逼 要抓到这些域名的包必须从更底层那种方面入手 懂不DNS 或 TLS 入手。

流量被 TLS 加密或者用私有协议编码Wireshark 在没有密钥的情况下就完全看不到里面的 Host 字段直接返回空这是很正常的啊。

http.host 过滤器只对明文的 HTTP 请求头生效

流量被 TLS 加密或者用私有协议编码Wireshark 在没有密钥的情况下就完全看不到里面的 Host 字段直接返回空这是很正常的啊。

http.host 过滤器只对明文的 HTTP 请求头生效