搜索

[18129] 2020-09-02_Wireshark解密HTTPS流量

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-09-02_Wireshark解密HTTPS流量 W i r e s h a r k 解 密 H T T P S 流 量 K r i s t o n   H A C K 之 道   2 0 2 0 - 0 9 - 0 2 在 审 查 可 疑 网 络 活 动 时 ， 经 常 遇 到 加 密 流 量 。 大 多 数 网 站 使 用 H T T P S 协 议 ， 各 种 类 型 的 恶 意 软 件 也 使 用 H T T P S ， 查 看 恶 意 软 件 产 生 的 数 据 对 于 了 流 量 内 容 非 常 有 帮 助 。 本 文 介 绍 了 如 何 利 用 W i r e s h a r k 从 p c a p 中 解 密 H T T P S 流 量 。 可 以 使 用 基 于 文 本 的 日 志 进 行 解 密 方 法 ， 日 志 中 包 含 最 初 记 录 p c a p 时 捕 获 的 加 密 密 钥 数 据 。 H T T P S   W e b 流 量 流 量 H T T P S 流 量 通 常 显 示 一 个 域 名 。 例 如 ， 在 W e b 浏 览 器 中 查 看 h t t p s : / / w w w . w i r e s h a r k . o r g ， 在 自 定 义 的 W i r e s h a r k 列 显 示 中 查 看 时 ， p c a p 将 显 示 w w w . w i r e s h a r k . o r g 作 为 此 流 量 的 服 务 器 名 称 。 但 无 法 知 道 其 他 详 细 信 息 ， 例 如 实 际 的 U R L 或 从 服 务 器 返 回 的 数 据 。
加 密 密 钥 日 志 文 件 加 密 密 钥 日 志 文 件 加 密 密 钥 日 志 是 一 个 文 本 文 件 。 最 初 记 录 p c a p 时 ， 使 用 中 间 人 （ M i t M ） 技 术 创 建 这 些 日 志 。 如 果 在 记 录 p c a p 时 未 创 建 任 何 此 类 文 件 ， 则 无 法 解 密 该 p c a p 中 的 H T T P S 通 信 。 示 例 分 析 示 例 分 析 有 密 钥 日 志 文 件 的 有 密 钥 日 志 文 件 的 H T T P S 流 量 流 量 G i t h u b 存 储 库 中 有 一 个 受 密 码 保 护 的 Z I P 文 件 ， 其 中 包 含 p c a p 及 其 密 钥 日 志 文 件 。 Z I P 中 包 含 的 p c a p 通 过 密 钥 日 志 解 密 后 ， 可 以 访 问 恶 意 软 件 样 本 。
从 Z I P （ 密 码 ： i n f e c t e d ） 中 提 取 p c a p 和 密 钥 日 志 文 件 ： W i r e s h a r k - t u t o r i a l - K e y s L o g F i l e . t x t W i r e s h a r k 解 密 H T T P S - S S L - T L S - t r a f f i c . p c a p 教 程
没 有 密 钥 日 志 文 件 的 没 有 密 钥 日 志 文 件 的 H T T P S 流 量 流 量 在 W i r e s h a r k 中 打 开 解 密 的 H T T P S - S S L - T L S - t r a f f i c . p c a p   W i r e s h a r k 教 程 ， 使 用 W e b 筛 选 器 ： （ h t t p . r e q u e s t 或 t l s . h a n d s h a k e . t y p e   e q   1 ） 和 ！ （ s s d p ） 此 p c a p 来 自 W i n d o w s   1 0 主 机 上 的 D r i d e x 恶 意 软 件 ， 所 有 W e b 流 量 （ 包 括 感 染 活 动 ） 都 是 H T T P S 。 没 有 密 钥 日 志 文 件 ， 看 不 到 流 量 的 任 何 详 细 信 息 ， 只 有 I P 地 址 ， T C P 端 口 和 域 名 ： 加 载 密 钥 日 志 文 件 加 载 密 钥 日 志 文 件 在 W i r e s h a r k 中 打 开 解 密 的 H T T P S - S S L - T L S - t r a f f i c . p c a p   W i r e s h a r k ， 使 用 菜 单 路 径 E d i t   – >   P r e f e r e n c e s 来 打 开 P r e f e r e n c e s 菜 单 ：
在 P r e f e r e n c e s 菜 单 的 左 侧 ， 单 击 P r o t o c o l s ： 如 果 使 用 的 是 W i r e s h a r k 版 本 2 . x ， 需 要 选 择 S S L 。 如 果 使 用 的 是 W i r e s h a r k   3 . x 版 ， 需 要 选 择 T L S 。 选 择 S S L 或 T L S 后 ， 可 以 看 到 （ P r e ） - M a s t e r - S e c r e t 日 志 文 件 名 。 单 击 “ 浏 览 ” ， 然 后 选 择 名 为 W i r e s h a r k - t u t o r i a l - K e y s L o g F i l e . t x t 的 密 钥 日 志 文 件 ：
密 钥 日 志 文 件 的 密 钥 日 志 文 件 的 H T T P S 流 量 流 量 单 击 “ 确 定 ” 后 ， W i r e s h a r k 会 在 每 条 H T T P S 行 下 列 出 解 密 的 H T T P 请 求 ：
在 此 p c a p 中 可 以 看 到 隐 藏 在 H T T P S 通 信 中 对 m i c r o s o f t . c o m 和 s k y p e . c o m 域 的 H T T P 请 求 ， 还 发 现 由 D r i d e x 发 起 的 以 下 流 量 ： f o o d s g o o d f o r l i v e r [ . ] c o m   –   G E T   / i n v e s t _ 2 0 . d l l 1 0 5 7 1 1 [ . ] c o m   –   P O S T   / d o c s . p h p 对 f o o d s g o o d f o r l i v e r [ . ] c o m 的 G E T 请 求 返 回 了 D r i d e x 的 D L L 文 件 。 对 1 0 5 7 1 1 [ . ] c o m 的 P O S T 请 求 是 来 自 受 D r i d e x 感 染 的 W i n d o w s 主 机 的 命 令 和 控 制 （ C 2 ） 通 信 。 针 对 f o o d s g o o d f o r l i v e r [ . ] c o m 的 H T T P   G E T 请 求 的 H T T P 流 ：
可 以 从 p c a p 导 出 此 恶 意 软 件 ， 使 用 菜 单 路 径 文 件 – > 导 出 对 象 – >   H T T P 从 p c a p 导 出 该 文 件 ： 使 用 f i l e 命 令 确 认 这 是 一 个 D L L 文 件 ， 然 后 使 用 s h a s u m   - a   2 5 6 获 取 文 件 的 S H A 2 5 6 哈 希 ： 该 恶 意 软 件 的 S H A 2 5 6 哈 希 为 ： 3 1 c f 4 2 b 2 a 7 c 5 c 5 5 8 f 4 4 c f c 6 7 6 8 4 c c 3 4 4 c 1 7 d 4 9 4 6 d 3 a 1 e 0 b 2 c e c b 8 e * 1 7 3 c b 2 f 还 可 以 检 查 来 自 此 D r i d e x 感 染 的 C 2 流 量 ， 下 图 显 示 了 其 中 一 个 H T T P 流 的 示 例 ：
作 者 ： K r i s t o n         文 章 来 源 ： F r e e B u f 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理