一、 实验背景与目的
随着即时通讯软件的普及，用户隐私安全日益受到关注。本次实验旨在通过 Wireshark 抓包工具，对 PC 端及手机端 QQ 的通信流量进行捕获与分析。主要验证 QQ 通信所使用的传输层协议（TCP/UDP）、数据是否加密（明文或密文），并尝试分析传输文件恢复的可行性。
二、 实验环境
· 抓包工具：Wireshark
· 网络环境：局域网 WiFi (WLAN)
· 测试对象：PC端 QQ、手机端 QQ
· 操作动作：发送文字消息、发送图片/文件（PC-PC端，PC-手机端）
三、 流量抓取与分析过程
- 传输层协议分析：UDP 还是 TCP？
在捕获的流量中应用 tcp 过滤器，观察数据包列表。如图所示，我们可以清晰地看到 QQ 的核心通信建立在 TCP 协议之上，且目标端口主要为 443（HTTPS/TLS 标准端口）。
· 分析：抓包结果显示，即使现代 QQ 可能在信令层面使用了 UDP，但其主要业务数据（如消息收发、文件传输）绝大多数通过 TCP 协议进行可靠传输。同时，在部分数据包中能看到 [TCP Retransmission]（重传）等特征，体现了 TCP 保障可靠性的机制。
- 数据加密性分析：明文还是密文？
选中一个包含数据载荷的 TCP 数据包，右键选择 “追踪流 -> TCP流”。
· 分析：在弹出的追踪流窗口中，我们无法看到任何可读的聊天文字或图片信息，取而代之的是满屏的乱码（十六进制和不可打印字符）。此外，在 Wireshark 的协议列中，可以清晰看到 TLSv1.2 标记以及 Application Data 提示。这充分说明，现代 QQ 采用了全链路 TLS 加密，任何中间人抓包都无法直接窥探通信内容。
!
- 明文文件恢复尝试
为了完成作业中“恢复可能为明文传输的文件”的要求，我们尝试在数据包中寻找文件头特征码。对于常见的压缩包（ZIP），其特征码为十六进制的 504b0304。
· 操作与结果：我们在 Wireshark 中尝试搜索该特征码（如过滤器输入），但发现系统报错提示“不是有效的协议或字段”，且通过字节流查找也无法提取出完整的明文文件。
· 分析：由于 QQ 的流量全程被 TLS 加密，文件在发送前就已经被封装加密。因此，在 Wireshark 中直接搜索文件头特征码（如 JPG 的 ffd8ff 或 ZIP 的 504b0304）是无效的，常规手段无法恢复出明文文件。
四、 实验总结与心得
- 协议特征：QQ 客户端主要依赖 TCP 443 端口进行通信，保证了数据传输的可靠性。
- 安全机制：现代 QQ 具备极高的安全性，全面采用 TLS 加密技术，即使在公共 WiFi 等复杂网络环境下抓包，也只能看到通信的源/目的IP、端口和数据包大小，无法解析出真实的聊天内容和文件。
- 文件恢复：基于当前的加密机制，传统的“通过搜索文件头提取图片/文件”的方法已彻底失效。
心得体会：
通过本次抓包实验，我直观地认识到了网络协议的运作方式，也深刻体会到现代加密技术对个人隐私保护的重要性。作为网络安全的初学者，流量分析不仅要掌握工具的使用，更要理解背后的协议原理和加密机制。
