QQ 流量分析实验

实验目的
使用 Wireshark 抓取 QQ 传输图片的流量，分析流量协议、判断是否加密，并尝试从流量数据中还原传输的图片文件。

实验环境
电脑、手机，两台设备接入同一无线网络；抓包软件 Wireshark，十六进制编辑软件 010 Editor。

实验步骤

1. 查看手机内网 IP 地址。
2. 打开 Wireshark，设置源 IP 过滤规则，启动流量捕获。
3. 使用手机 QQ 发送一张图片，捕获传输数据包后停止抓包。
4. 选中捕获到的 TCP 数据包，右键选择【追踪】→【TCP 流】，观察流内容，页面显示大量乱码。
5. 将 TCP 流显示方式切换为【原始数据（Raw）】，另存为二进制文件data.bin。
6. 使用 010 Editor 打开data.bin，以十六进制检索 JPG 图片特征头FF D8 FF，成功定位特征码位置。
7. 继续检索 JPG 结束标识FF D9，在该 TCP 流内未找到结束标记。截取FF D8 FF之后全部数据，另存为test.jpg。
8. 打开test.jpg，提示文件损坏，无法正常查看图片。

实验问题回答

1. 该图片传输使用 UDP 还是 TCP？
   使用TCP 协议。
2. 传输的内容是明文还是密文？
   密文。追踪 TCP 流后内容以乱码为主，流量为 TLS 加密传输，无法直接阅读图片原始内容。
3. 是否成功恢复图片？
   没有成功恢复图片。虽然在二进制文件中检索到 JPG 头部特征码FF D8 FF，但是该 TCP 流仅包含图片分片的一部分，缺少 JPG 结束标志FF D9，图片数据不完整，导出后的 jpg 文件损坏，无法打开。