用途：对 TLS/HTTPS 加密流量做深度分析，在持有 keylog 或可中间人时解密看明文，用于 C2 通信、固件回连、加密应用协议分析；仅有密文 pcap 时也可做 ClientHello/证书指纹聚类与异常 TLS 特征判定。不适用于只抓包不深入、已解密无 TLS 层、或非标准自定义加密（应转 crypto 相关技能）。
主要能力：一是 ClientHello 指纹，用 tshark 提取 JA3（Wireshark 3.6+ 内置）与 JA4（4.2+ 原生，仅客户端）字段并按客户端栈聚类；二是证书链分析，用 openssl x509 解析签发者、有效期、自签名、SPKI 指纹与证书重用；三是 SSLKEYLOG 密钥导出与解密，tshark 侧用 -o tls.keylog_file:keys.log 重新解析；四是解密后按 ALPN/上层协议还原语义；五是恶意 TLS 特征清单，含指纹新簇、异常证书、信标节奏、SNI 异常与混合协议。
使用方式：先验证工具（tshark --version、openssl version），再按顺序执行指纹提取、证书解析、解密、语义还原与特征聚类，每步产物存档 sha256 与路径。Chrome/Firefox 通过 SSLKEYLOGFILE 环境变量导出密钥，Wireshark 在首选项 Protocols → TLS 指定 (Pre)-Master-Secret log filename。
限制：TLS 1.3 的 Certificate 消息在加密握手内，需先解密或用 openssl s_client 实时抓取；无 keylog 时前向保密导致无法解密，只能转指纹与元数据分析；JA3/JA4 与证书均为弱信号，可被伪造，需行为侧交叉验证；证书固定需配合 hook 绕过；ECH 与延迟类代理检测会削弱指纹分析效果。本技能处理流量与密钥文件，不运行样本。