Andmevahetuse analüüsimine WhatsAppi veebiinitsialiseerimise ajal

WhatsAppi veebiinitsialiseerimise mõistmine

Digiajastul on seadmetevahelise suhtluse mõistmine ülioluline, eriti selliste rakenduste puhul nagu WhatsApp Web. WhatsApp Webi lähtestamisel QR-koodi skaneerimisega vahetatakse Android-seadme ja brauseri vahel erinevaid parameetreid. See protsess hõlmab krüptitud liiklust, mida võib olla keeruline analüüsida.

Hoolimata selliste tööriistade nagu tpacketcapture ja Burp Suite kasutamisest, mille sertifikaat on seadmesse installitud, jääb liiklus krüpteerituks, tekitades küsimusi WhatsAppi kasutatavate protokollide kohta. Selles artiklis käsitletakse selle protsessi taga olevaid mehhanisme ja uuritakse võimalikke meetodeid WhatsAppi veebiseansside ajal vahetatud parameetrite analüüsimiseks.

Liiklusanalüüsi skriptide üksikasjalik selgitus

Esimene skript kasutab mitmproxy, võimas tööriist HTTP- ja HTTPS-liikluse pealtkuulamiseks. Selles skriptis määratleme klassi WhatsAppWebAnalyzer mis hõlmab esitatud taotlusi web.whatsapp.com. The request meetodit kasutatakse iga puhverserverit läbiva HTTP-päringu jaoks. Kontrollides, kas taotlus on tehtud web.whatsapp.com, suurendame loendurit ja logime päringu URL-i kasutades ctx.log.info. See võimaldab meil jälgida ja logida kogu suhtlust Android-seadme ja WhatsApp Webi vahel, pakkudes ülevaadet QR-koodi skannimise käigus vahetatud andmetest. The addons list registreerib meie kohandatud lisandmooduli mitmproxyga, võimaldades skriptil mitmproxy käivitamisel sujuvalt käitada.

Teine skript kasutab tshark, Wiresharki käsurea versioon võrguliikluse hõivamiseks ja analüüsimiseks. Käsk tshark -i wlan0 -w käivitab traadita liideses püüdmise ja kirjutab väljundi faili. Seda faili loetakse ja filtreeritakse, et kuvada ainult Android-seadme IP-aadressiga seotud liiklus, kasutades tshark -r -Y -T json. JSON-väljundit töödeldakse edasi jq, käsurea JSON-protsessor, et filtreerida HTTP/2 liiklust kasutades jq '.[] | select(.layers.http2)'. Filtreeritud liiklus salvestatakse ja kuvatakse kasutades cat whatsapp_filtered.json, mis annab üksikasjaliku ülevaate WhatsAppi veebisuhtlusest. Need skriptid koos pakuvad tugevat meetodit krüptitud liikluse analüüsimiseks, aidates avastada WhatsApp Web lähtestamise ajal vahetatud parameetreid.

import mitmproxy.http
from mitmproxy import ctx

class WhatsAppWebAnalyzer:
    def __init__(self):
        self.num_requests = 0

    def request(self, flow: mitmproxy.http.HTTPFlow) -> None:
        if "web.whatsapp.com" in flow.request.pretty_host:
            self.num_requests += 1
            ctx.log.info(f"Request {self.num_requests}: {flow.request.pretty_url}")

addons = [WhatsAppWebAnalyzer()]

#!/bin/bash

# Start tshark to capture traffic from the Android device
tshark -i wlan0 -w whatsapp_traffic.pcapng

# Decrypt the captured traffic
tshark -r whatsapp_traffic.pcapng -Y 'ip.addr == <ANDROID_DEVICE_IP>' -T json > whatsapp_traffic.json

# Filter for WhatsApp Web traffic
cat whatsapp_traffic.json | jq '.[] | select(.layers.http2)' > whatsapp_filtered.json

# Print the filtered traffic
cat whatsapp_filtered.json

WhatsAppi veebiliikluse analüüsi täiustatud tehnikate uurimine

WhatsAppi veebiliikluse analüüsimise üks kriitiline aspekt on kasutatavate krüpteerimisprotokollide mõistmine. WhatsApp kasutab otsast lõpuni krüptimist, mis tähendab, et sõnumid krüpteeritakse saatja seadmes ja dekrüpteeritakse ainult saaja seadmes. See muudab liikluse pealtkuulamise ja dekrüpteerimise keeruliseks ülesandeks. Võtmevahetusmehhanismi ning avalike ja privaatvõtmete rolli mõistmine võib aga anda ülevaate võimalikest haavatavustest ja seadusliku pealtkuulamise meetoditest. Lisaks võib seadme ja serveri vahelise esialgse käepigistuse analüüsimine paljastada väärtuslikku teavet krüpteerimisprotsessi ja kõigi metaandmete kohta, mida võidakse vahetada.

Teine võimalus on kasutada spetsiaalset riist- või tarkvara, mis suudab läbi viia sügava pakettide kontrolli (DPI). DPI-tööriistad saavad analüüsida andmepakettide sisu, kui need läbivad võrku, mis on kasulik konkreetsete rakenduste või protokollide tuvastamiseks isegi siis, kui liiklus on krüptitud. Näiteks võib selliste tööriistade nagu Wireshark kasutamine koos WhatsAppi liikluse jaoks loodud pistikprogrammidega aidata eristada suhtlusmustreid ja tuvastada vahetatavate sõnumite tüübid. Lisaks võib WhatsApp Webi aluseks oleva WebSocketi protokolli mõistmine pakkuda täiendavat teavet, kuna sellel protokollil on oluline roll brauseri ja WhatsAppi serverite vahelises reaalajas suhtluses.