PCAP 分析器
放入一个抓包文件——.pcap 或 .pcapng——即可得到“最初十分钟”的视图：真正搬运了字节的会话、每一条 DNS 提问与应答、明文 HTTP 请求、TLS 服务器名称与 JA3 指纹，以及一份在网络上未加密传输的凭据短名单。文件从不离开你的设备：它在本页面中解析，不会上传，因为抓包就是证据，而证据不该发到陌生人的服务器上。
也可以把文件拖放到这个框的任意位置。解析会分块进行并显示进度，几兆字节的抓包不会冻住标签页。
摘要
明文凭据警告
这些是本分析器能识别的模式的目击记录——HTTP Basic 身份验证、FTP、SMTP AUTH、POP3 与 IMAP 登录、telnet。一条都没找到什么也不能证明：凭据也会在本工具不检查的协议和编码里传输，这也是文件留在你机器上的又一个理由。
会话
| 协议 | 源 | 目标 | A → B 包数 | B → A 包数 | 数据包 | 字节 | 首次出现 |
|---|
A 是在抓包中先开口的那个端点。点击列标题可重新排序；默认按字节排序，因为筛查总是从真正搬运了数据的一方开始。
DNS
HTTP 请求（明文）
TLS ClientHello 元数据
失陷指标（IOC 导出）
本抓包中出现的唯一 IP、域名（来自 DNS、TLS SNI 与 HTTP Host）和明文 URL，默认做去活化处理，可安全粘贴到工单或聊天里，不会变成可点击的活链接。
最初十分钟是用来做什么的
抓包通常是在匆忙中完成的——某样东西很慢、某样东西在和错误的地方通信、某样东西可疑——然后在压力之下打开。提问的顺序比任何单个答案都重要。先看会话：按字节排序，它们会告诉你这段时间里究竟是谁在用网络，意外通常立刻可见——一台工作站与一个没人认识的地址保持着长会话、一台服务器上传的远多于下载、一个根本不该出现的协议。然后看 DNS，因为名称就是意图：一台主机发出的查询，是抓包中最接近“它当时想访问什么”的浏览记录，而应答把这些名称钉在抓包那一刻的地址上，而不是今天 DNS 解析出的结果。再看 TLS 元数据：加密隐藏的是内容，不是存在本身——SNI 名称与 JA3 指纹仍然能说明联系了哪些服务、发起连接的是哪一类客户端软件。最后看明文意外：HTTP 请求与凭据警告，因为在 2026 年，任何被被动观察者可读地跨越网络的密码，本身就是一起事件，无论最初的问题是什么。配套指南抓包的最初十分钟把这个顺序展开为一套工作流，包括何时该停止筛查、改去打开 Wireshark。
三条诚实的限制决定了本页面能声称什么。它不重组 TCP 流——它逐包读取并聚合成会话流，所以一个被抓包切分到多个分段中的 HTTP 请求或 ClientHello 可能会被漏掉；在主机上（而非分光口上）抓的包还会出现分段卸载造成的假象，指南对此有说明。它不解密任何东西：这里没有粘贴密钥日志的地方，这是故意的，因为密钥日志是现存最敏感的文件之一，不该出现在网页里。它的凭据名单是一组已识别的模式，而不是一次审计——没有警告不等于不存在。 它能保证的是数据流向：你的抓包由运行在浏览器标签页中的代码读取，从不上传、从不记录、从不共享，所以筛查本身不可能成为泄漏源。对于源于一台在线服务器的抓包，端口扫描器能显示该主机暴露了什么，邮件头分析器则处理事件中到达的另一个文件——可疑邮件本身。
常见问题
我的抓包文件会去哪里？
哪里也不去。文件在本页面、你的设备上读取和解析，不上传、不传输、不存储——分析文件时本页面不发出任何网络请求。这是刻意的设计，因为抓包是网络上最敏感的文件之一：它包含内部地址、主机名，以及——在明文协议中——字面意义上的凭据。页面加载后它也能离线工作，而抓包通常本来就是这样被读的：在抓它的那台机器上，往往是在事件进行中。
支持哪些抓包格式和链路类型？
经典 PCAP，两种字节序均可，微秒或纳秒时间戳；以及 PCAPNG——节、接口、增强与简单数据包块，外加名称解析块，其中记录的名称会显示在摘要里。链路类型：以太网（包括带 VLAN 标签的帧）、原始 IP、BSD 环回，以及 Linux cooked SLL 与 SLL2。可解码 IPv4 与 IPv6、TCP、UDP 与 ICMP。其他链路类型会计入协议构成但不解码，摘要会明说这一点，而不是保持沉默。
它做不到什么？
三条限制，直说。它不重组 TCP 流——分析是逐包加按流聚合，所以一个被切分到多个分段中的 ClientHello 或 HTTP 请求可能会被漏掉。它不能解密任何东西：TLS 和其他加密流量只产生元数据（服务器名称、ALPN、JA3），永远不产生内容。它的凭据发现是目击记录，而不是健康证明——它标记自己识别的明文模式（HTTP Basic、FTP、SMTP AUTH、POP3、IMAP、telnet），没有标记不能证明它没检查的协议没有问题。做深入工作——跟随流、协议解析器、用密钥日志解密——请用 Wireshark；本页面是最初十分钟，不是整个调查。配套指南抓包的最初十分钟阐述了这个筛查顺序。
TLS 连接显示的 JA3 指纹是什么？
JA3 是一种从 ClientHello 为 TLS 客户端生成指纹的标准方法：TLS 版本、密码套件、扩展、椭圆曲线和点格式，按顺序以十进制数字列出（去除 GREASE 值），连接成一个字符串，再用 MD5 哈希。使用相同库和设置的两个客户端会产生相同的 JA3；某个扫描器或恶意软件家族往往有其特征性的 JA3。它识别的是客户端软件的习惯，而不是用户，并且会随库的更新而改变——把它当作聚类线索，而不是身份。
我能打开多大的抓包？
最大 25 MB 的文件。这个上限是刻意的：整个文件加分析结构都住在你的标签页内存里，桌面浏览器应付起来很轻松，手机则未必。测试中，一个约 90,000 个包的 10 MB 抓包大约一秒就能解析完。更大的文件，先在抓包时过滤，或在你自己的机器上用 editcap/tcpdump 过滤——tcpdump -r big.pcap -w slice.pcap host 203.0.113.10——再把切片带到这里来。