c - 如何区分同一 HTTPS 流量中的不同类型的数据包？

Question

有些事情让我很困扰:我想区分来自 Youtube 的数据包和来自维基百科的数据包:它们都通过 HTTPS 传输，并且都来自端口 443。

由于它们使用 HTTPS 传输，因此无法理解它们的负载，我无法进行完整的深度数据包检测:我只能查看以太网、IP 和 TCP 结构 header 。我可能会查看两个数据包的 IP 地址源，看看它们实际来自哪里，但要知道它们是来自 Youtube 还是维基百科，我应该已经知道这两个站点的 IP 地址。

我想弄清楚的是一种通过 HTTP 流式传输(就像 Youtube 所做的那样)和简单的 HTML 传输(维基百科)来判断的方法，而无需调查有效负载。

编辑 1:在复制视频期间启动的 Wireshark session 中，我收到了大量数据包。也许我应该开始查看来自同一地址的数据包之间的超时。

Answer 1

如果您只是对跟踪 Wireshark 中的数据流感兴趣，您可以使用 TCP 流索引，过滤器类似于 tcp.stream == 12

流索引从零开始，wireshark 遇到第一个流，并为每个新流(持久连接)递增。

因此，相同 IP 之间的两个不同流将具有两个不同的编号。例如，同一 IP 地址之间的视频流可能为 12，而音频流可能为 13。

如果您在流启动之前开始捕获，您将能够看到设置 SSL 连接的原始流量(其中大部分是明文形式)