Analyse af dataudveksling under WhatsApp-webinitialisering

Forstå WhatsApp-webinitialisering

I den digitale tidsalder er forståelsen af ​​kommunikationen mellem enheder afgørende, især for applikationer som WhatsApp Web. Når WhatsApp Web initialiseres ved at scanne QR-koden, udveksles forskellige parametre mellem Android-enheden og browseren. Denne proces involverer krypteret trafik, der kan være udfordrende at analysere.

På trods af brug af værktøjer som tpacketcapture og Burp Suite med dets certifikat installeret på enheden, forbliver trafikken krypteret, hvilket rejser spørgsmål om de protokoller, der bruges af WhatsApp. Denne artikel dykker ned i mekanismerne bag denne proces og udforsker potentielle metoder til at analysere de udvekslede parametre under WhatsApp Web-sessioner.

Detaljeret forklaring af scripts til trafikanalyse

Det første script udnytter mitmproxy, et kraftfuldt værktøj til at opsnappe HTTP- og HTTPS-trafik. I dette script definerer vi en klasse WhatsAppWebAnalyzer der fanger de anmodninger, der er stillet til web.whatsapp.com. Det request metoden påkaldes for hver HTTP-anmodning, der passerer gennem proxyen. Ved at tjekke om anmodningen er fremsat til web.whatsapp.com, øger vi en tæller og logger anmodnings-URL'en ved hjælp af ctx.log.info. Dette giver os mulighed for at overvåge og logge al kommunikation mellem Android-enheden og WhatsApp Web, hvilket giver indsigt i de data, der udveksles under QR-kodescanningsprocessen. Det addons list registrerer vores brugerdefinerede tilføjelse med mitmproxy, hvilket gør det muligt for scriptet at køre problemfrit, når mitmproxy startes.

Det andet script bruger tshark, kommandolinjeversionen af ​​Wireshark, til at fange og analysere netværkstrafik. Kommandoen tshark -i wlan0 -w starter en capture på den trådløse grænseflade og skriver outputtet til en fil. Denne fil bliver derefter læst og filtreret for kun at vise trafikken relateret til Android-enhedens IP-adresse ved hjælp af tshark -r -Y -T json. JSON-outputtet behandles yderligere med jq, en kommandolinje JSON-processor, til at filtrere for HTTP/2-trafik ved at bruge jq '.[] | select(.layers.http2)'. Den filtrerede trafik gemmes og vises vha cat whatsapp_filtered.json, der giver et detaljeret overblik over WhatsApp-webkommunikationen. Disse scripts, kombineret, tilbyder en robust metode til at analysere krypteret trafik, og hjælper med at afdække de parametre, der udveksles under WhatsApp Web-initialisering.

import mitmproxy.http
from mitmproxy import ctx

class WhatsAppWebAnalyzer:
    def __init__(self):
        self.num_requests = 0

    def request(self, flow: mitmproxy.http.HTTPFlow) -> None:
        if "web.whatsapp.com" in flow.request.pretty_host:
            self.num_requests += 1
            ctx.log.info(f"Request {self.num_requests}: {flow.request.pretty_url}")

addons = [WhatsAppWebAnalyzer()]

#!/bin/bash

# Start tshark to capture traffic from the Android device
tshark -i wlan0 -w whatsapp_traffic.pcapng

# Decrypt the captured traffic
tshark -r whatsapp_traffic.pcapng -Y 'ip.addr == <ANDROID_DEVICE_IP>' -T json > whatsapp_traffic.json

# Filter for WhatsApp Web traffic
cat whatsapp_traffic.json | jq '.[] | select(.layers.http2)' > whatsapp_filtered.json

# Print the filtered traffic
cat whatsapp_filtered.json

Udforskning af avancerede teknikker til WhatsApp-webtrafikanalyse

Et kritisk aspekt ved at analysere WhatsApp-webtrafik er at forstå de anvendte krypteringsprotokoller. WhatsApp anvender end-to-end-kryptering, hvilket betyder, at beskeder krypteres på afsenderens enhed og kun dekrypteres på modtagerens enhed. Dette gør at opsnappe og dekryptere trafikken til en udfordrende opgave. Forståelse af nøgleudvekslingsmekanismen og offentlige og private nøglers rolle kan dog give indsigt i potentielle sårbarheder og metoder til lovlig aflytning. Derudover kan en analyse af det indledende håndtryk mellem enheden og serveren afsløre værdifuld information om krypteringsprocessen og alle metadata, der kan udveksles.

En anden tilgang er at bruge specialiseret hardware eller software, der kan udføre deep packet inspection (DPI). DPI-værktøjer kan analysere indholdet af datapakker, når de passerer gennem et netværk, hvilket er nyttigt til at identificere specifikke applikationer eller protokoller, selvom trafikken er krypteret. For eksempel kan brug af værktøjer som Wireshark i kombination med plugins designet til WhatsApp-trafik hjælpe med at dissekere kommunikationsmønstrene og identificere de typer meddelelser, der udveksles. Desuden kan forståelsen af ​​den underliggende WebSocket-protokol, der bruges af WhatsApp Web, give yderligere indsigt, da denne protokol spiller en væsentlig rolle i realtidskommunikation mellem browseren og WhatsApp-serverne.