协议状态机重建

何时使用 / 何时不用

• 用：手上有明文流量（pcap 或实时流）需要搞清"消息长什么样、双方怎么对话"
• 用：自定义协议 / 私有协议 / 未知协议的字段结构推断
• 用：C2 协议、固件通信协议的交互模式推演（握手/心跳/结束）
• 不用：流量是密文（先 [[re-crypto-id]] → [[re-crypto-keys]] → [[re-crypto-decrypt]]，解出明文再回来）
• 不用：标准协议（HTTP/TLS/DNS）——直接 Wireshark 解码器（见 [[re-netcap]] 步骤 3）
• 不用：只需要抓流量（那是 [[re-netcap]]）

工具准备

所有工具先验证再使用。本技能只处理数据与解析脚本，不运行样本，可免沙箱（[[re-analyze/platform-tips]] 最高原则）；抓流量环节在 [[re-netcap]] 内进行。

python3 —— 解析脚本运行环境