PCAP 分析器
放入一個抓包檔案——.pcap 或 .pcapng——即可得到「最初十分鐘」的視圖：真正搬運了位元組的工作階段、每一條 DNS 提問與回應、明文 HTTP 請求、TLS 伺服器名稱與 JA3 指紋，以及一份在網路上未加密傳輸的憑證短名單。檔案從不離開你的裝置：它在本頁面中解析，不會上傳，因為抓包就是證據，而證據不該發到陌生人的伺服器上。
也可以把檔案拖放到這個框的任意位置。解析會分塊進行並顯示進度，幾百萬位元組的抓包不會凍住分頁。
摘要
明文憑證警告
這些是本分析器能識別的模式的目擊記錄——HTTP Basic 身分驗證、FTP、SMTP AUTH、POP3 與 IMAP 登入、telnet。一條都沒找到什麼也不能證明：憑證也會在本工具不檢查的協定和編碼裡傳輸，這也是檔案留在你機器上的又一個理由。
工作階段
| 協定 | 來源 | 目標 | A → B 封包數 | B → A 封包數 | 封包 | 位元組 | 首次出現 |
|---|
A 是在抓包中先開口的那個端點。點擊欄標題可重新排序；預設按位元組排序，因為篩查總是從真正搬運了資料的一方開始。
DNS
HTTP 請求（明文）
TLS ClientHello 中繼資料
失陷指標（IOC 匯出）
本抓包中出現的唯一 IP、網域（來自 DNS、TLS SNI 與 HTTP Host）和明文 URL，預設做去活化處理，可安全貼上到工單或聊天裡，不會變成可點擊的活連結。
最初十分鐘是用來做什麼的
抓包通常是在匆忙中完成的——某樣東西很慢、某樣東西在和錯誤的地方通訊、某樣東西可疑——然後在壓力之下開啟。提問的順序比任何單個答案都重要。先看工作階段：按位元組排序，它們會告訴你這段時間裡究竟是誰在用網路，意外通常立刻可見——一台工作站與一個沒人認識的位址保持著長工作階段、一台伺服器上傳的遠多於下載、一個根本不該出現的協定。然後看 DNS，因為名稱就是意圖：一台主機發出的查詢，是抓包中最接近「它當時想存取什麼」的瀏覽記錄，而回應把這些名稱釘在抓包那一刻的位址上，而不是今天 DNS 解析出的結果。再看 TLS 中繼資料：加密隱藏的是內容，不是存在本身——SNI 名稱與 JA3 指紋仍然能說明聯繫了哪些服務、發起連線的是哪一類用戶端軟體。最後看明文意外：HTTP 請求與憑證警告，因為在 2026 年，任何被被動觀察者可讀地跨越網路的密碼，本身就是一起事件，無論最初的問題是什麼。配套指南抓包的最初十分鐘把這個順序展開為一套工作流程，包括何時該停止篩查、改去開啟 Wireshark。
三條誠實的限制決定了本頁面能聲稱什麼。它不重組 TCP 流——它逐封包讀取並聚合成工作階段流，所以一個被抓包切分到多個區段中的 HTTP 請求或 ClientHello 可能會被漏掉；在主機上（而非分光口上）抓的包還會出現區段卸載造成的假象，指南對此有說明。它不解密任何東西：這裡沒有貼上金鑰日誌的地方，這是故意的，因為金鑰日誌是現存最敏感的檔案之一，不該出現在網頁裡。它的憑證名單是一組已識別的模式，而不是一次稽核——沒有警告不等於不存在。它能保證的是資料流向：你的抓包由執行在瀏覽器分頁中的程式碼讀取，從不上傳、從不記錄、從不共享，所以篩查本身不可能成為外洩源。對於源於一台線上伺服器的抓包，連接埠掃描器能顯示該主機暴露了什麼，郵件標頭分析器則處理事件中到達的另一個檔案——可疑郵件本身。
常見問題
我的抓包檔案會去哪裡？
哪裡也不去。檔案在本頁面、你的裝置上讀取和解析，不上傳、不傳輸、不儲存——分析檔案時本頁面不發出任何網路請求。這是刻意的設計，因為抓包是網路上最敏感的檔案之一：它包含內部位址、主機名稱，以及——在明文協定中——字面意義上的憑證。頁面載入後它也能離線工作，而抓包通常本來就是這樣被讀的：在抓它的那台機器上，往往是在事件進行中。
支援哪些抓包格式和鏈路類型？
經典 PCAP，兩種位元組序均可，微秒或奈秒時間戳；以及 PCAPNG——節、介面、增強與簡單封包塊，外加名稱解析塊，其中記錄的名稱會顯示在摘要裡。鏈路類型：乙太網路（包括帶 VLAN 標籤的訊框）、原始 IP、BSD 迴路，以及 Linux cooked SLL 與 SLL2。可解碼 IPv4 與 IPv6、TCP、UDP 與 ICMP。其他鏈路類型會計入協定構成但不解碼，摘要會明說這一點，而不是保持沉默。
它做不到什麼？
三條限制，直說。它不重組 TCP 流——分析是逐封包加按流聚合，所以一個被切分到多個區段中的 ClientHello 或 HTTP 請求可能會被漏掉。它不能解密任何東西：TLS 和其他加密流量只產生中繼資料（伺服器名稱、ALPN、JA3），永遠不產生內容。它的憑證發現是目擊記錄，而不是健康證明——它標記自己識別的明文模式（HTTP Basic、FTP、SMTP AUTH、POP3、IMAP、telnet），沒有標記不能證明它沒檢查的協定沒有問題。做深入工作——跟隨流、協定解析器、用金鑰日誌解密——請用 Wireshark；本頁面是最初十分鐘，不是整個調查。配套指南抓包的最初十分鐘闡述了這個篩查順序。
TLS 連線顯示的 JA3 指紋是什麼？
JA3 是一種從 ClientHello 為 TLS 用戶端產生指紋的標準方法：TLS 版本、密碼套件、擴充、橢圓曲線和點格式，按順序以十進位數字列出（去除 GREASE 值），連接成一個字串，再用 MD5 雜湊。使用相同程式庫和設定的兩個用戶端會產生相同的 JA3；某個掃描器或惡意軟體家族往往有其特徵性的 JA3。它識別的是用戶端軟體的習慣，而不是使用者，並且會隨程式庫的更新而改變——把它當作聚類線索，而不是身分。
我能開啟多大的抓包？
最大 25 MB 的檔案。這個上限是刻意的：整個檔案加分析結構都住在你的分頁記憶體裡，桌上型瀏覽器應付起來很輕鬆，手機則未必。測試中，一個約 90,000 個封包的 10 MB 抓包大約一秒就能解析完。更大的檔案，先在抓包時過濾，或在你自己的機器上用 editcap/tcpdump 過濾——tcpdump -r big.pcap -w slice.pcap host 203.0.113.10——再把切片帶到這裡來。