阿里旺旺协议分析
一、概述
淘宝旺旺是一个即时通讯软件，集成了即时的文字、语音、视频沟通、以及交易提醒、快捷通道、最新商讯等功能，是网上交易必备的工具。淘宝网是阿里巴巴旗下网站，也是中国电子商务诚信联盟发起网站。
淘宝旺旺采用TCP通讯方式，默认登陆端口为16000，当16000端口不通时，则跳转到80端口进行通讯。一般只要16000、80、8080和443端口中任意一个通，则可成功登陆淘宝旺旺。淘宝旺旺就有超强的网络连接功能，支持SOCK4、SOCK5、和HTTP代理服务器模式登陆。
本文将按照wireshark抓包来分析旺旺的协议特征。
二、分析
1）登陆
登陆过过程中，包括不同协议的包:UDP/TCP(不包括http),HTTP.其中http包又分为两种：一种是阿里旺旺直接产生的，一种是浏览器产生的，我们只需要关注阿里旺旺软件直接产生的。
阿里旺旺数据包有以下特征：user-agent域有16进制格式关键字，如b0a2c0efcdfacdfa；有些包的关键字是the im.alisoft.com” “Cookie: ali_” 。
TCP协商后，阿里旺旺协议数据包有个明显特征：数据部分第一个4字节中，含有十六进制数“8f010100‘。
当登陆成功后，有两个UDP数据包，ip是属于杭州电信的。这些udp数据包第一个字节中也含有十六进制数据如“8f010121
2）聊天
进文字聊天：行文字聊天时，数据包都是tcp数据包和登录时的特征相同。
语音聊天：语音聊天过程包括tcp和udp报文，他们是分别进行处理的。这个过程软件会和不同的服务器进行交互例如multimedia.im.alisoft.com，forum.split.taobao.com，使用udp数据包传输语音数据。另一特征是旺旺试图在本地isp和杭州电信交互。这会产生一系列udp数据包。如果足够幸运的话，udp数据包可以识别出来，
其数据包第一个4字节中含有十六进制数52554450”。
视频聊天：这个过程和语音聊天相同。
3）文件传输
在文件传输的过程中，采用tcp协议协商。udp报文前三字节的特征是“710206“。
主要参考：
http://wzgyantai.blogbus.com/logs/28288501.html
google搜索