Analýza výměny dat během inicializace webu WhatsApp

Pochopení inicializace webu WhatsApp

V digitálním věku je porozumění komunikaci mezi zařízeními zásadní, zejména pro aplikace jako WhatsApp Web. Při inicializaci WhatsApp Web skenováním QR kódu dochází k výměně různých parametrů mezi zařízením Android a prohlížečem. Tento proces zahrnuje šifrovaný provoz, jehož analýza může být náročná.

Navzdory používání nástrojů jako tpacketcapture a Burp Suite s certifikátem nainstalovaným v zařízení zůstává provoz šifrovaný, což vyvolává otázky ohledně protokolů používaných WhatsApp. Tento článek se ponoří do mechanismů za tímto procesem a zkoumá potenciální metody analýzy vyměňovaných parametrů během relací WhatsApp Web.

Podrobné vysvětlení skriptů analýzy provozu

První skript využívá mitmproxy, výkonný nástroj pro zachycení provozu HTTP a HTTPS. V tomto skriptu definujeme třídu WhatsAppWebAnalyzer která zachycuje požadavky vznesené na web.whatsapp.com. The request metoda je vyvolána pro každý požadavek HTTP procházející přes proxy. Kontrolou, zda je žádost podána na web.whatsapp.com, zvýšíme počítadlo a zaprotokolujeme adresu URL požadavku pomocí ctx.log.info. To nám umožňuje sledovat a zaznamenávat veškerou komunikaci mezi zařízením Android a webem WhatsApp, což nám poskytuje přehled o datech vyměňovaných během procesu skenování QR kódu. The addons list registruje náš vlastní addon s mitmproxy, což umožňuje bezproblémové spuštění skriptu při spuštění mitmproxy.

Druhý skript využívá tshark, verze příkazového řádku Wireshark, pro zachycení a analýzu síťového provozu. Příkaz tshark -i wlan0 -w zahájí zachycení na bezdrátovém rozhraní a zapíše výstup do souboru. Tento soubor je poté přečten a filtrován, aby se zobrazil pouze provoz související s IP adresou zařízení Android pomocí tshark -r -Y -T json. Výstup JSON je dále zpracováván pomocí jq, procesor JSON příkazového řádku, k filtrování provozu HTTP/2 pomocí jq '.[] | select(.layers.http2)'. Filtrovaný provoz se uloží a zobrazí pomocí cat whatsapp_filtered.json, poskytující podrobný pohled na webovou komunikaci WhatsApp. Tyto skripty společně nabízejí robustní metodu pro analýzu šifrovaného provozu a pomáhají odhalit parametry vyměňované během inicializace WhatsApp Web.

import mitmproxy.http
from mitmproxy import ctx

class WhatsAppWebAnalyzer:
    def __init__(self):
        self.num_requests = 0

    def request(self, flow: mitmproxy.http.HTTPFlow) -> None:
        if "web.whatsapp.com" in flow.request.pretty_host:
            self.num_requests += 1
            ctx.log.info(f"Request {self.num_requests}: {flow.request.pretty_url}")

addons = [WhatsAppWebAnalyzer()]

#!/bin/bash

# Start tshark to capture traffic from the Android device
tshark -i wlan0 -w whatsapp_traffic.pcapng

# Decrypt the captured traffic
tshark -r whatsapp_traffic.pcapng -Y 'ip.addr == <ANDROID_DEVICE_IP>' -T json > whatsapp_traffic.json

# Filter for WhatsApp Web traffic
cat whatsapp_traffic.json | jq '.[] | select(.layers.http2)' > whatsapp_filtered.json

# Print the filtered traffic
cat whatsapp_filtered.json

Zkoumání pokročilých technik pro analýzu webového provozu WhatsApp

Jedním kritickým aspektem analýzy webového provozu WhatsApp je pochopení používaných šifrovacích protokolů. WhatsApp využívá end-to-end šifrování, což znamená, že zprávy jsou šifrovány na zařízení odesílatele a dešifrovány pouze na zařízení příjemce. Díky tomu je zachycení a dešifrování provozu náročným úkolem. Pochopení mechanismu výměny klíčů a role veřejných a soukromých klíčů však může poskytnout vhled do potenciálních zranitelností a metod pro zákonné odposlechy. Kromě toho může analýza počátečního handshake mezi zařízením a serverem odhalit cenné informace o procesu šifrování a případných metadatech, která mohou být vyměněna.

Dalším přístupem je použití specializovaného hardwaru nebo softwaru, který může provádět hloubkovou kontrolu paketů (DPI). Nástroje DPI mohou analyzovat obsah datových paketů, když procházejí sítí, což je užitečné pro identifikaci konkrétních aplikací nebo protokolů, i když je provoz šifrován. Například používání nástrojů, jako je Wireshark v kombinaci s pluginy určenými pro provoz WhatsApp, může pomoci rozebrat komunikační vzorce a identifikovat typy vyměňovaných zpráv. Pochopení základního protokolu WebSocket používaného WhatsApp Web může navíc nabídnout další poznatky, protože tento protokol hraje významnou roli v komunikaci mezi prohlížečem a servery WhatsApp v reálném čase.