数据流：从 hook 到 pcap
🌊 一条明文从 App 调用到 pcap 落盘的完整数据流。
完整流程
SSL_write（请求）数据流
SSL_read（响应）数据流
与 SSL_write 的差异：
| 维度 | SSL_write | SSL_read |
|---|---|---|
| 明文可见时机 | onEnter（args[1] 现成） | onLeave（执行后写 buf） |
| send 位置 | onEnter | onLeave |
| 栈全局 | SSLstackwrite | SSLstackread |
| isRead 参数 | false | true |
| 取明文 | args[1].readByteArray(args[2]) | this.buf.readByteArray(retval) |
Python 端分流
pcap 写入
log_pcap 把明文包装成 IPv4+TCP 假包：
pcap 记录头(16B,本机序) + IPv4头(20B,大端) + TCP头(20B,大端) + 载荷(明文)