應該使用什么過濾器來過濾 TLS 1.3 客戶端問候？

Question

當前使用(tcp[tcp[12]/16*4]=22 and tcp[tcp[12]/16*4+5]=1) ，其中=22代表握手， =1代表 TLS 1.2/ 的客戶端問候1.3 包。

由於上述過濾器為 TLS 1.2 和 1.3 提供了流量，因此我並沒有真正找到區分 TLS 1.3 或 TLS 1.2 客戶端 hello 流量的方法/技術。

Answer 1

在supported_versions TLS 擴展中宣布了 TLS 1.3 支持。 ClientHello 中的這個擴展沒有明確的偏移量，即需要正確解析 ClientHello 結構。 這不適用於 pcap 過濾器規則。