抓文件上传下载配方

📁 抓 App 上传/下载文件的流量。

思路

文件传输走 HTTP（multipart 上传 / 流式下载），r0capture 抓到明文载荷。

上传（multipart）

1. 抓包

python3 r0capture.py -U -f com.app -v -p upload.pcap

2. 触发上传

操作 App 上传图片/文件。

3. 识别 multipart

[SSL_write] POST /api/upload HTTP/1.1
Content-Type: multipart/form-data; boundary=----xyz

------xyz
Content-Disposition: form-data; name="file"; filename="a.jpg"
Content-Type: image/jpeg

<二进制图片数据>
------xyz--

4. 提取文件

Wireshark Follow TCP Stream，保存 raw，按 boundary 切分提取文件内容。

下载

1. 抓包

python3 r0capture.py -U -f com.app -v -p download.pcap

2. 触发下载

操作 App 下载文件/图片。

3. 识别下载

[SSL_read] HTTP/1.1 200 OK
Content-Type: application/octet-stream
Content-Length: 1234567

<二进制文件数据>

4. 提取文件

Wireshark Follow TCP Stream → Save raw → 去掉 HTTP 头即得文件二进制。

注意

• 大文件抓包产生大量数据，注意日志/pcap 体积（见 log 文件过大）
• 二进制文件在 hexdump 里看是乱码，正常

相关文档

• HTTP 协议
• Wireshark 分析配方
• log 文件过大