WPE怎么看出数据包是否加密？老司机带你轻松识别！
WPE怎么看出数据包是否加密？老司机带你轻松识别！
话说，作为一个网络侦探，抓包那可是业余爱好，甭管你是IT小白还是网安老炮，掌握如何用WPE（WinPcap Edition）来看数据包到底有没有被加密，简直像打怪升级一样棒。别以为抓个包就是简单地复制黏贴，得用点“火眼金睛”来辨别信息的真假。今天，我们就以轻松幽默的姿态，一起切磋怎么用WPE来判断数据包加密没加密，说不定还顺便学会了点“黑科技”呢~?
接下来教你几招看WPE数据包加密与否的“诈术”：
1. 看数据包的内容“面目”——明文还是乱码？
打开WPE捕获的数据包，正常没加密的包，数据内容大多是清晰的文本，像HTTP的请求路径、参数、Cookie啥的都能一眼看见。就像朋友圈发的照片，谁点开都能看到清晰的姑娘美照。
但如果是加密数据包，内容就跟“外星语”似的，全是乱码、一堆看不懂的十六进制字符，心里忍不住冒出“这什么神仙写法？”大多数时候是TLS/SSL加密，包体被“锁”得死死的，没有密钥基本打不开。
2. 注意端口号和协议
这个像看大门口的守卫，基本能判断它几成实力量。比如，HTTP默认跑80端口，数据基本不加密，抬头一看就是明文。
而HTTPS跑443端口，99%是加密状态，包体肉眼看就是密密麻麻的乱码。还有类似加密协议的端口，比如SSH的22端口，SFTP的115端口，密码加密得漂漂亮亮。
当然，坏坏的有时候也用非标准端口，但是大部分“官方”加密协议基本“举牌”端口的，不能不信。
3. 利用WPE的“协议解析”功能
WPE自己能识别常见协议，像HTTP、FTP、DNS啥的，有专门的解析模块，解码出数据包里的字段。如果你在这里看到解析出的字段，说明很可能是没被加密的纯文本数据。
反之，解析层面直白提示“无法识别”或内容全是乱码，那加密就很有可能了。
4. 捕获握手包——看SSL/TLS握手过程
加密连接都是先握个手的，这握手过程其实是明文传输的。WPE能抓到它包含版本号、加密算法啥的“公示牌”，如果你能定位到这类“握手”包，说明后面包肯定是加密了。
反过来说，如果没看到这类握手包，连加密层都搭不上，那包大概率是没加密的，直接裸奔传送数据。
5. 看数据包的长度和波动
你别以为长度不重要，看了就知道，没加密的包长度变化规律明显，像发短信那样长短不一，内容“呼吸”明显。
但加密传输后，包的长度一般要么比较固定，要么呈现明显的加密数据块特征（比如固定长度的块状波动），这也是加密常见的“脑筋急转弯”之一。
看了这些是不是感觉有点“破解”味道了？不急，还有隐藏的小秘籍。
额外神操作，撸一撸WPE数据包：
如果你想更精准，配合Wireshark使用效果更佳，Wireshark支持深层协议解析和部分解密（前提你懂密钥）。但是WPE用来定位是否加密这事儿足够够用。
顺带插播一句：玩游戏想要赚零花钱就上七评赏金榜，网站地址：bbs.77.ink，玩的就是心跳，赚的是真金白银，网络高手们可别错过~
打个比方，判定数据包是否加密，就像你去吃自助餐，明摆着的菜你能认出大部分，证明没加密；反过来拿到一个“神秘铁盒”，你看不透内容，就是加密了。用WPE抓包，你就是那个小偷偷窥的小能手，但能不能看穿秘密，全靠你是不是配了对“万能钥匙”。
如果连基本判断都没法掌握，那抓包的爽快感都打折扣。下次再碰到网络“隐藏的宝藏包”，试试这几招，锁死加密与否，玩儿到飞起！
突然想到个脑筋急转弯：你说数据包到底加不加密，就像咱们点的外卖到底做没做好，菜上桌了，不看菜谱，你说这菜香不香？
