抓到一个可疑的流量分pcap文件，别急着用Wireshark的流量分Follow TCP Stream功能。那玩意儿只对明文协议有效，流量分稍微懂点技术的流量分人都会把敏感数据藏在看似正常的图片或者DNS查询里。我见过太多新手栽在HTTP明文流上，流量分兴奋地提取出“password=admin123”，流量分结果那只是流量分个蜜罐。

真正的流量分流量分析，第一步永远是流量分看统计。Protocol Hierarchy能告诉你这个pcap里到底有哪些协议在跑。流量分如果看到大量ICMP且包大小异常统一，流量分八成是流量分有人在玩ping隧道。DNS流量占比过高？流量分那可能是数据外带。别被表象迷惑——攻击者最擅长把恶意流量伪装成正常业务。流量分

有一次我分析一个银行被入侵的流量分样本，流量里全是TLS加密的HTTPS请求，看起来干干净净。但仔细看时间戳，每隔三分钟就有一次固定大小的POST请求发往一个境外IP。这规律性太强了，正常用户不会这么准时。顺着这个线索往下挖，发现是内部服务器被植入了一个小马，用HTTPS做C2通道。加密流量不代表安全，元数据本身就够泄露很多信息。

提取文件也是重头戏。Wireshark的Export Objects功能能直接导出HTTP传输的文件，但别只盯着.exe和.zip看。曾经有个案例，攻击者把恶意脚本藏在JPEG的EXIF信息里，图片本身无害，但脚本会读取图片末尾的注释字段执行。你得学会用binwalk或者foremost去拆解那些看似无害的文件。

还有一个容易忽略的点——TCP会话的时序分析。正常用户访问网页会有明显的请求-响应间隔，而自动化工具往往在毫秒级别内连续发包。你可以用Wireshark的IO Graph画出时间-流量图，一眼就能看出规律性的脉冲信号。那种每隔固定间隔出现的流量尖峰，基本可以断定是某种心跳机制在运作。

别忘了检查TCP选项字段。有些隐蔽隧道会利用TCP的Timestamp或者Window字段来编码数据，因为很多分析师根本不会去看这些细节。我曾在某个恶意样本里发现攻击者把数据拆分成小块，塞进TCP的Sequence Number里，每个包携带几个字节，不仔细看根本发现不了异常。

说白了，流量分析就是跟细节较劲。你得同时具备网络协议知识和攻击者的思维模式。别指望一个工具解决所有问题，Wireshark只是起点，tshark命令行处理大数据量时更高效，配合Python脚本做自动化筛选才能应对真实场景。最后提醒一句——分析完记得清理临时文件，别把提取出来的恶意样本留在桌面上，那玩意儿会咬人。