QQ流量分析

实验目的：
分析QQ PC-PC、PC-手机，区分TCP、UDP，判断加密，尝试文件还原
实验环境：
同一流量、Wireshark、PC和手机QQ及各IP
实验步骤：
1. 网络搭建：手机开启Wi‑Fi热点，电脑连接该热点，记录PC的IPv4：192.168..，热点手机IP：192.168..。确认两台设备都登录QQ。
2. 打开Wireshark，网卡选择WLAN，准备捕获。
3. 在Wireshark上方过滤栏输入过滤规则：
ip.addr == 192.168.. && ip.addr == 192.168..，如图步骤3。
4. 点击工具栏，开始抓包；立刻在电脑QQ向手机QQ发送一张JPG图片，手机QQ回复一条消息。
5. 通信完成后，点击红色停止按钮，结束捕获。
6. 观察数据包列表：
-OICQ协议包：使用UDP传输，用于QQ消息、心跳；
-HTTP/TLS协议包：基于TCP，用于图片文件传输。
7. 选中图片对应的TCP数据包，右键 → 追踪 → TCP流；如图步骤7、8。
8. 在追踪窗口，将【显示为ASCII】下拉框切换为原始数据(Raw)，点击另存为，保存为 img.bin 二进制文件。
9. 使用010 Editor打开 img.bin ；查找十六进制特征码 FF D8 FF （JPG文件头）。如图步骤9、10。
10. 从 FF D8 FF 开始，选中到JPG结束标记 FF D9 ；点击Save Selection，保存选中内容，后缀改为 .jpg 。
11. 尝试打开生成的jpg文件，观察结果：提取出的文件是否可以正常查看图片。
12. 保存抓包文件，结束实验。

实验结论：
① UDP or TCP：QQ同时采用UDP和TCP协议，文件、图片等大数据传输多使用TCP。
② 加密or明文：QQ传输载荷为加密传输，聊天消息为密文，无法直接阅读明文；可以在二进制流中检索文件特征标记尝试提取文件，但新版本TLS加密场景下很难成功还原完整文件。
③ 文件恢复：利用JPG头部特征 FF D8 FF 尾部特征FF D9 检索二进制流，截取对应片段尝试恢复；本次实验成功。