本帖最后由 天空之城 于 2009-12-18 16:26 编辑
如何只是判断web代理，比较简单，假设代理端口为2111，设置过滤器：
1.去掉端口80的数据，常规代理端口科来可以自动识别。
2.过滤含有get请求的数据包。（科来数据包重组功能可以发现能还原出get请求、url等信息， ...
Se7en 发表于 2009-12-18 11:51 
针对你提出的这两点，我有些不同的意见，本着共同探讨的精神，一起来交流一下，也希望更多的朋友来讨论。
一、很多代理网站使用的是非80的端口，但是，请记住，也有很多代理网站使用的是80端口，也就是说，你设置的过滤器只能捕获到使用非80端口进行代理的内网主机，而使用80端口进行代理上网的主机你是捕获不到的，设置过滤器的意义就在于捕获到所有我们想要得到的结果，而不只是一部分。
二、没明白你所说的过滤含有get请求的数据包是在日志设置中还是在数据包模式匹配中过滤get、url等关键字进行设置，如果是在日志设置中，那么你捕获到的数据包的协议是tcp，而不是http，是不会有任何的记录的;如果是在数据包模式匹配中设置，还是同第一个同样的问题，你捕获的只是使用非80端口代理上网的主机，而不是全部使用代理进行上网的主机(如果内网中有使用80端口和非80端口进行上网的主机，你只能捕获到一部分，但你能确定所有使用代理上网的都是用的非80端口嘛？)。
下面是我使用百度搜索的网站中随意打开一页所选取的代理服务器地址，大家可以看一下使用80端口的代理服务器有多少：
| IP port | Type | Speed | Country/Area | | 209.197.110.17 :80 | HTTP | 672,2781,2781 | US/CA | | 189.15.242.73 :223 | HTTP | 656,2172,2172 | Brazil | | 200.226.251.217 :80 | HTTP | 437,2469,2469 | Sao Paulo,Brazil | | 212.80.4.224 :3128 | HTTP | 687,2968,2984 | Belgium | | 87.120.58.161 :8080 | HTTP | 328,2109,2109 | Bulgaria | | 213.255.218.158 :8080 | HTTP | 547,2688,2688 | Europe | | 221.130.13.208 :80 | HTTP | 156,2359,2359 | 江苏省南京市 移动 | | 202.159.216.14 :80 | HTTP | 421,2390,2390 | India | | 222.124.142.201 :8080 | HTTP | 578,2343,2343 | Indonesia | | 221.130.13.200 :80 | HTTP | 141,2641,2641 | 江苏省南京市 移动 | | 69.92.138.195 :8080 | HTTP | 312,1406,3219 | United States | | 76.169.100.41 :8085 | HTTP | 984,2625,2625 | United States | | 24.181.69.111 :8085 | HTTP | 344,2015,2015 | 美国 密苏里州 | | 121.14.158.65 :80 | HTTP | 47,2063,2063 | 广东省中山市 电信 | | 208.69.231.202 :80 | HTTP | 281,2250,2250 | United States | | 202.99.29.27 :80 | HTTP | 78,2438,2453 | 北京市 网通ADSL | | 187.6.20.210 :80 | HTTP | 703,2563,2563 | | 77.73.162.21 :3128 | HTTP | 609,2453,2468 | RIPE | | 58.240.237.32 :80 | HTTP | 47,2110,2110 | 江苏省苏州市 网通 | | 114.127.246.36 :80 | HTTP | 266,2172,2172 | Indonesia | | 189.21.126.31 :8080 | HTTP | 469,2125,2141 | Brazil | | 59.51.60.169 :808 | HTTP | 63,2016,2016 | 湖南省衡阳市 电信 | | 131.203.76.8 :3128 | HTTP | 469,2250,2266 | New Zealand | | 200.25.221.19 :3128 | HTTP | 359,2765,2765 | Sao Paulo,Brazil | | 71.230.132.90 :8085 | HTTP | 969,2203,2203 | United States | | 82.78.81.166 :3128 | HTTP | 391,2485,2485 | Rumania | | 211.138.124.196 :80 | HTTP | 156,2344,2344 | 浙江省 移动(全省通用) |
|
发表于 2009-12-17 12:08:13
发表于 2009-12-17 14:27:35
所以以下的判断均是根据在本机所做的实验进行的过滤器测试所得的一些规律，不保证使用此过滤规则能捕获到所有使用代理的主机，使用分析软件为科来6.9专家版。