Фильтр в Wireshark для поля индикации имени сервера TLS

Question

Есть ли в Wireshark фильтр для поля индикации имени сервера TLS?

Answer 1

ssl.handshake.extensions_server_name

Answer 2

Ответ Шона Е, вероятно, правильный, но моя версия Wireshark не имеет этого фильтра. Следующие фильтры существуют, однако:

Чтобы проверить, существует ли поле SNI:

ssl.handshake.extension.type == 0

или же

ssl.handshake.extension.type == "server_name"

Чтобы проверить, содержит ли расширение определенный домен:

ssl.handshake.extension.data contains "twitter.com"

Answer 3

Более новый Wireshark имеет контекстное меню R-Click с фильтрами.

Найдите Client Hello с SNI, для которого вы хотели бы видеть больше связанных пакетов.

Разверните до рукопожатия / расширения: подробности server_name и от R-щелчка выберите Apply as Filter .

Смотрите прикрепленный пример, пойманный в версии 2.4.4

Answer 4

Для более полного примера вот команда, чтобы показать SNI, используемые в новых соединениях:

tshark -p -Tfields -e ssl.handshake.extensions_server_name \ 
    -Y 'ssl.handshake.extension.type == "server_name"'

(Это то, что ваш провайдер может легко увидеть в вашем трафике.)