使用Scapy解码HTTPS流量遇阻：NSS密钥文件时序问题求助

核心问题分析 #

你的时序矛盾是关键：Scapy的TLS解密模块在嗅探启动时就会加载NSS数据库文件，但此时文件尚未生成（需要先有TLS握手流量才能生成密钥），导致解密逻辑无法获取后续生成的密钥。而导出pcap后解密遇到重复包，大概率是嗅探线程和主线程的数据包捕获逻辑冲突，比如同时捕获了本地发送和回环的重复流量。

可行解决方案 #

方案1：调整流程，先生成NSS密钥再启动嗅探 #

Scapy的SSL/TLS解密依赖NSS数据库中的预主密钥，你可以先单独触发一次HTTPS请求生成密钥文件，再启动嗅探捕获后续流量：

• 先配置conf.ssl_nss_filename指向目标NSS文件路径
• 单独发送一次HTTPS请求（用Scapy或requests库均可），此时Scapy会自动生成包含预主密钥的NSS文件
• 启动嗅探线程，捕获后续的HTTPS流量，此时解密模块能读取已生成的密钥

示例代码片段：

from scapy.all import conf, sniff, TLS
import requests

# 配置NSS文件路径
conf.ssl_nss_filename = "./nss_db.sqlite"

# 先触发请求生成密钥
requests.get("https://example.com", verify=False)

# 定义嗅探回调函数处理解密
def process_packet(pkt):
    if pkt.haslayer(TLS):
        tls_layer = pkt[TLS]
        decrypted = tls_layer.decrypt()
        if decrypted:
            print("解密后数据:", decrypted)

# 启动嗅探
sniff(iface="eth0", prn=process_packet, filter="tcp port 443")

方案2：修复pcap导出后的重复包问题，离线解密 #

如果必须实时捕获后离线解密，需先解决重复包问题：

• 嗅探时添加过滤规则，排除回环流量（比如filter="tcp port 443 and not host 127.0.0.1"，根据实际网卡调整）
• 导出pcap时，在回调函数中通过数据包的seq和ack字段去重，避免重复写入

离线解密示例：

from scapy.all import rdpcap, TLS

# 读取去重后的pcap文件
packets = rdpcap("./captured_traffic.pcap")

# 配置NSS文件路径
conf.ssl_nss_filename = "./nss_db.sqlite"

# 遍历数据包解密
for pkt in packets:
    if pkt.haslayer(TLS):
        tls_layer = pkt[TLS]
        decrypted = tls_layer.decrypt()
        if decrypted:
            print("解密后数据:", decrypted)

方案3：使用Scapy的TLSContext手动管理密钥 #

Scapy 2.5+支持TLSContext，可以手动注入密钥，避免依赖NSS文件的时序问题：

• 在发送HTTPS请求时，获取TLS会话的预主密钥
• 将密钥注入到嗅探线程的解密上下文

示例代码片段：

from scapy.all import conf, sniff, TLS, TLSContext
from scapy.layers.tls.session import TLSSession
import threading

# 定义全局TLS上下文
tls_ctx = TLSContext()

def process_packet(pkt):
    if pkt.haslayer(TLS):
        # 使用全局上下文解密
        decrypted = tls_ctx.decrypt(pkt[TLS])
        if decrypted:
            print("解密后数据:", decrypted)

# 启动嗅探线程
sniff_thread = threading.Thread(target=sniff, kwargs={"iface": "eth0", "prn": process_packet, "filter": "tcp port 443"})
sniff_thread.start()

# 发送请求并获取密钥注入上下文
s = TLSSession()
s.connect(("example.com", 443))
s.send(b"GET / HTTP/1.1\r\nHost: example.com\r\n\r\n")
tls_ctx.add_session(s)

sniff_thread.join()

关键注意事项 #

• 确保Scapy版本为2.5.0rc2.dev39或更高，部分解密特性为新版本专属
• NSS文件路径需具备读写权限，Scapy会自动创建数据库
• 嗅探网卡需与发送请求的网卡一致，避免捕获不到目标流量

内容的提问来源于stack exchange，提问作者Polly