如何在.NET 6 TLS服务器的SslStream中获取数据包序列号？

首先明确你之前尝试的两个关键问题：

• SslStream确实没有公开的InnerStream属性，官方文档已明确说明，反射获取非公开属性不仅违反封装性，还可能在.NET版本更新时失效。
• TcpConnectionInformation提供的是TCP传输层的连接信息，和TLS记录层的序列号完全无关，这个类从设计上就不会包含TLS相关字段。

核心问题解答 #

在.NET 6官方提供的SslStreamAPI中，没有直接获取TLS数据包序列号的内置接口。

可行方案：拦截原始TLS流量并解析 #

要获取TLS记录的序列号，必须在SslStream解密数据之前，拦截底层NetworkStream的原始字节流，自行解析TLS记录格式：

版本差异说明 #

• 对于TLS 1.0~1.2：每个TLS记录的明文头部包含8字节的序列号（位于记录类型、版本、长度字段之后，加密 payload 之前）。
• 对于TLS 1.3：序列号是加密的，属于TLS记录的受保护部分，无法通过明文解析直接获取，且SslStream不会暴露该信息。

实现思路示例 #

创建一个自定义Stream包装底层NetworkStream，在读取数据时先解析完整的TLS记录，提取序列号后再将数据传递给SslStream：

public class TlsRecordCaptureStream : Stream
{
    private readonly Stream _innerStream;
    private byte[] _buffer = new byte[4096];
    private int _bufferOffset;
    private int _bufferLength;

    public event Action<long>? TlsRecordSequenceNumberCaptured;

    public TlsRecordCaptureStream(Stream innerStream)
    {
        _innerStream = innerStream;
    }

    public override int Read(byte[] buffer, int offset, int count)
    {
        // 先确保有足够字节解析TLS记录头（类型+版本+长度共5字节）
        while (_bufferLength < 5)
        {
            int read = _innerStream.Read(_buffer, _bufferLength, _buffer.Length - _bufferLength);
            if (read == 0) return 0;
            _bufferLength += read;
        }

        // 解析TLS记录总长度
        int recordLength = (_buffer[3] << 8) | _buffer[4];
        int totalRecordSize = 5 + recordLength;
        if (totalRecordSize > 8192)
            throw new InvalidDataException("无效的TLS记录长度");

        // 读取完整的TLS记录
        while (_bufferLength < totalRecordSize)
        {
            int read = _innerStream.Read(_buffer, _bufferLength, _buffer.Length - _bufferLength);
            if (read == 0) return 0;
            _bufferLength += read;
        }

        // 提取TLS 1.0-1.2的序列号（8字节大端序）
        if (_buffer[1] == 0x03 && _buffer[2] <= 0x03) // 匹配TLS 1.0/1.1/1.2版本
        {
            long sequenceNumber = 0;
            for (int i = 0; i < 8; i++)
            {
                sequenceNumber = (sequenceNumber << 8) | _buffer[5 + i];
            }
            TlsRecordSequenceNumberCaptured?.Invoke(sequenceNumber);
        }

        // 将记录数据复制到输出缓冲区
        int copySize = Math.Min(totalRecordSize, count);
        Array.Copy(_buffer, 0, buffer, offset, copySize);
        // 处理缓冲区剩余字节
        _bufferLength -= copySize;
        if (_bufferLength > 0)
        {
            Array.Copy(_buffer, copySize, _buffer, 0, _bufferLength);
        }

        return copySize;
    }

    // 实现Stream抽象方法
    public override bool CanRead => _innerStream.CanRead;
    public override bool CanSeek => _innerStream.CanSeek;
    public override bool CanWrite => _innerStream.CanWrite;
    public override long Length => _innerStream.Length;
    public override long Position { get => _innerStream.Position; set => _innerStream.Position = value; }
    public override void Flush() => _innerStream.Flush();
    public override long Seek(long offset, SeekOrigin origin) => _innerStream.Seek(offset, origin);
    public override void SetLength(long value) => _innerStream.SetLength(value);
    public override void Write(byte[] buffer, int offset, int count) => _innerStream.Write(buffer, offset, count);
}

使用时将自定义Stream传入SslStream：

var client = listener.AcceptTcpClient();
var captureStream = new TlsRecordCaptureStream(client.GetStream());
captureStream.TlsRecordSequenceNumberCaptured += seqNum => 
{
    Console.WriteLine($"捕获到TLS记录序列号：{seqNum}");
};

var sslStream = new SslStream(captureStream, false);
await sslStream.AuthenticateAsServerAsync(serverCertificate);
// 后续正常使用sslStream读写数据

注意事项 #

• 上述代码仅针对TLS 1.0-1.2有效，TLS 1.3的序列号无法通过这种方式获取。
• 需要处理TCP流式传输的分片、重传等情况，确保能正确拼接完整的TLS记录。
• 自定义Stream的实现需严格遵循规范，避免数据丢失或错位。

内容的提问来源于stack exchange，提问作者Shahroozevsky