PCAP mode can only decrypt partial HTTPS traffic, not all of it about ecapture HOT 8 CLOSED

大概是APP没用使用系统默认的ssl链接库/apex/com.android.conscrypt/lib64/libssl.so。

检查一下app的ssl类库是哪个，之后通过 --libssl参数指定。

from ecapture.

如果说是 libssl 库不对，那么 text 模式同样是使用 /apex/com.android.conscrypt/lib64/libssl.so，为什么能正确抓到 APP 的数据呢

from ecapture.

嗯，有说不通的地方。 有没有可能，他两个类库都用了。只是个别接口走的系统默认的，大部分业务逻辑接口用的不是系统默认类库？

还是建议你先分析apk使用的ssl类库。

from ecapture.

APP 自带了一个 libttboringssl.so 库，我尝试指定该库为 libssl 的路径，这次不仅 pcap 没有解密数据了，text 模式也不输出了。使用系统默认的库，text 模式是十分正常的，能看到 APP 发出的请求及响应。

其实我疑惑的点在于，理论上 text 模式和 pcap 模式的行为应当是一致的，pcap 模式做的只是将 text 模式提取到的数据以 pcapng 的格式存储下来。既然 text 模式正常解密了所有的流量，没有理由 pcap dump下来的数据有一部分是未解密状态。🤷‍♂️

from ecapture.

text模式跟pcap模式应该是一样的，而且从日志里也看到打印了CLIENT_RANDOM 事件，应该都捕获正确了。 还有可能就是wireshark的解析这里除了问题，尝试升级一下版本试试。 我常用的版本是4.2.2

from ecapture.

嗯嗯，我也是用的 4.2.2 版本 Wireshark.

TLS1_3_VERSION: save CLIENT_RANDOM ca282201ab7a1da13fd97ac7a660249c31f4a8d0d92ac3aeb2acbbc87cd88fc3 to file success, 938 bytes
tls_2024/01/24 15:01:50 EBPFProbeOPENSSL        save pcapng success, count:733
tls_2024/01/24 15:01:52 EBPFProbeOPENSSL        save pcapng success, count:416

pcap 模式的日志中，除了 save CLIENT_RANDOM，更多的是 save pcapng success。出现 CLIENT_RANDOM的应该是解密了（对应Wireshark中看到的少量 HTTPS 包），而只显示 save pcapng success 似乎是没有没有解密成功。

from ecapture.

是的，密钥应该都拿到了，你也可以通过查看目录下ecapture_masterkey.log文件来确认密钥是否正确。

你也可以使用keylog模式，来保存SSLKEY，再用tshark实时解密，对比跟wireshark的结果。

ref: https://github.com/gojue/ecapture?tab=readme-ov-file#keylog-mode

from ecapture.

ping ?

from ecapture.