用現有的抓包檔，在分析電腦上跑 TShark 就可以，SFTP 主機不用裝程式或重啟。Wireshark 裡的 SSH Version 2 (encryption:… mac:…) 是封包明細的標題，可以把 SSH 明細匯出，再到文字檔搜尋 SSH Version 2 (encryption:。

tshark -n -2 -r capture.pcapng -Y ssh -V -O ssh > ssh-details.txt

如果 SFTP 用自訂埠，TShark 又只認出 TCP，可以加 -d tcp.port==2222,ssh，把 2222 換成實際的服務埠。

要整理成表格，可把 -V -O ssh 換成 -T pdml，也把輸出檔名改成 ssh.xml。在同一個 packet 裡取 tcp.stream、ssh.direction，以及 show 屬性以 SSH Version 2 (encryption: 開頭的項目。按連線分組，兩個方向分開看。如果是 AES-GCM 或 ChaCha20-Poly1305，Wireshark 可能顯示 mac:<implicit>，表示完整性檢查由加密演算法一起處理。

盤點「已使用」時，可以先確認雙向都看到 SSH_MSG_NEWKEYS（ssh.message_code == 21），代表雙方送出了切換新金鑰的訊息。KEXINIT 裡只有提議清單，清單列到弱演算法不代表有用上。如果抓包從連線中途才開始，缺少初次握手，就把判不出的連線列為未知。

要對到「哪個帳號」得再查現有的 JSCAPE 登入或稽核日誌。一般未解密的抓包看得到連線端點，但登入帳號在加密後的驗證訊息裡。若日誌有帳號、時間和連線端點，可拿來比對，尤其同一個來源 IP 有多條連線時，來源埠能幫忙縮小範圍。只有 IP 的話，先別把連線歸到特定帳號。

TShark 匯出說明 · Wireshark SSH 標題的來源 · SSH 帳號驗證格式