文档
抓包摘要
把已保存 pcap/pcapng 文件中的端点、DNS 查询与地址、TLS SNI、协议栈和 HTTP URI 汇总为可分页的 Evidence 视图；不抓取流量，也不访问记录中的目标。
- 目标
- 协议
- 类别
- REA 官方：调查指南
- 关联
- REA 官方文档
- 来源复核于
使用条件与局限
- 需自行提供 Wireshark 4.x 的 tshark 和 capinfos。检查抓包需要带 util-linux prlimit 的 Linux，或使用 Job Object 的 Windows；macOS 会报告能力缺口。rea-agents 6.5.0 的发布说明已列出此功能。
- 上游当前验证使用 Linux、Node 24.18.0 和 Wireshark 4.0.17，Windows 实际执行尚未验证。汇总结果不能证明解密后的内容或进程身份，也不能证明不存在未记录的流量。
关于此条目
说明已依据一手来源复核。
一手来源
- docs/pcap-analysis.md GitHub · morluto/rea · 修订 808339f
- CHANGELOG.md GitHub · morluto/rea · 修订 3b79af2
同分区更多条目：文档与学习资源
- 信号记录解码 · 文档
- 浏览器观察指南 · 文档
- JavaScript 与 Electron：追踪 CSV 导出 · 文档
- rea-playbook · 学习资源
- rea-lab · 研究
- Flutter 构建识别 · 文档