Traffic Analysis（场景 6：流量里找信号）

前置：拿到 pcap/pcapng（题目附件，或别的主线提取出的文件）／后继：提取出的二进制 → ~/.dsh/skills/re-triage 重新分诊；文本/flag 类结论直接交付

内容看不懂时，信号在元数据里：包长、TTL、IPID、时延、TCP flags 的 per-packet 分布画直方图，值落在可打印 ASCII 区间的分布就是信号（TokyoWesterns 2018 方法论，细节 references/tunnels.md §通用检测）。同一路径失败 2 次换工具，单方向 ≤15 分钟（铁律 6，全文见 ghidra-core §1）。

路径约定

TA="$HOME/.dsh/skills/traffic-analysis/scripts"   # 本 skill 脚本（全零依赖，Python 3 stdlib）
# Windows:
TS="$HOME/Desktop/src/tools/wireshark/tshark.exe" # tshark 4.6.8（7z 免安装解包；未加 PATH，用全路径）
EC="$HOME/Desktop/src/tools/wireshark/editcap.exe" # editcap（pcapng→pcap 转换）
# WSL/Linux（apt 安装，PATH 直达）:
# TS="$(command -v tshark)"; EC="$(command -v editcap)"

本 skill 不依赖 tshark——pcap_triage.py / conflict_oracle.py / decode_engine.py 自研解析器保底（全 stdlib）；tshark/editcap/scapy/aircrack-ng/hashcat 是否可用以 python "$SK/doctor.py" 的 toolchain 节为准（SK 路径见 ghidra-core），缺失按 hint 装或绕。ghidra-core 的 unreferenced_data.py / ledger.py 仅为路由引用，非本 skill 脚本的运行依赖。

流程

1. 打不开先修

xxd cap.pcap | head -1 对 magic bytes（d4c3b2a1/a1b2c3d4=pcap，0a0d0d0a=pcapng）→ 修头/pcapfix/格式转换，配方见 references/pcap-triage.md §修复。

2. 开局三连（每条 30 秒内）

python "$TA/pcap_triage.py" cap.pcap      # 零依赖：包数/时间跨度/协议分布/包长直方图/top 会话 + 路由 hint
"$TS" -r cap.pcap -q -z io,phs            # 有 tshark 时交叉验证：协议分层统计
"$TS" -r cap.pcap -q -z conv,ip           # 会话/端点

• pcap_triage.py exit 2 = 某协议占比 >60%，直接跟它打印的路由 hint 走；报告末尾的每流字段一致性矩阵打出 ⚠ 重复键冲突时，走 conflict_oracle.py（见 §2.5 异常即约束）
• 大 pcap（百万包级）：信号载体往往藏在包数最少的协议/会话里，按包数倒序找（EHAX 2026 经验）
• pcapng 会被 pcap_triage 拒收："$EC" -F pcap in.pcapng out.pcap 转换后再来

2.5 解码阶梯：轴必须交叉，且先算预算

明文候选 = OP(字段₁..字段₃) × 顺序(下标/seq/TS/外部置换表) × 打包(半字节 hi|lo, 位序) × 后变换
- OP 至少覆盖 1~3 元 XOR / ADD / SUB → scripts/decode_engine.py 强制全交叉
- 顺序源包含"附件二进制里零引用的置换表"（ghidra-core scripts/unreferenced_data.py）
- 硬门 1（预算）：先算候选总数；算得出却仍剪轴 ⇒ 必须写明理由（铁律 13）
- 硬门 2（覆盖）：任一轴恒为 identity/常量 ⇒ 记为未覆盖，禁止计入"试过"
- 硬门 3（oracle）：无校验手段（hash 常量/重复项一致性/格式校验位）不许全交叉开跑
- 尺寸对齐：载体位数与目标长度严丝合缝 = 信道判对的强证据（非禁令——尺寸巧合可作诱饵）

异常即约束：

同一逻辑键（同 seq / 同下标 / 重传）上字段取值冲突
  ⇒ 该字段大概率不是明文；明文可能是 ≥2 字段的复合函数（xor/add/sub）
  ⇒ 正确函数必须让重复项一致 → 免费过滤器：scripts/conflict_oracle.py
  ⇒ 注意真实抓包重传载荷可合法不同——冲突是假设生成器，不是排除器
  ⇒ 未解决前用 ghidra-core ledger.py anomaly --consequence 落账，禁止当噪声枚举

表先看跨度：附件有二进制时，32 字节零引用表 → 先查 +0x40/+0x80 是否构成 64/128 项置换，相邻表可能是同一置换的两半或倒序（ghidra-core unreferenced_data.py）。

3. 路由表（按分诊发现选路）

4. 证据落账（强制）

每个观察/结论走 ghidra-core scripts/ledger.py（observe/conclude，key 用 pcap 文件名），机制见 ghidra-core references/evidence-ledger.md。提取出的文件先正向验证（魔数/file 命令/能打开）才算证据；自建解码脚本在支撑结论前用已知答案自检（铁律 10 ②）。

5. 时间盒与换路

同一路径失败 2 次 → 换工具（如 hid 手工解析不行就回 tshark 换字段导）；单方向 ≤15 分钟无产出 → 回 §3 路由表选下一行；彻底卡住 ledger.py stuck 留痕并问用户。

脚本速查

References