Tietojenvaihdon analysointi WhatsApp Webin alustuksen aikana

WhatsApp-verkkoalustuksen ymmärtäminen

Digitaalisella aikakaudella laitteiden välisen viestinnän ymmärtäminen on ratkaisevan tärkeää erityisesti sovelluksissa, kuten WhatsApp Web. Kun WhatsApp Web alustetaan skannaamalla QR-koodi, Android-laitteen ja selaimen välillä vaihdetaan erilaisia ​​parametreja. Tämä prosessi sisältää salattua liikennettä, jonka analysointi voi olla haastavaa.

Huolimatta siitä, että käytetään työkaluja, kuten tpacketcapture ja Burp Suite, joiden sertifikaatti on asennettu laitteeseen, liikenne pysyy salattuna, mikä herättää kysymyksiä WhatsAppin käyttämistä protokollista. Tässä artikkelissa käsitellään tämän prosessin taustalla olevia mekanismeja ja tutkitaan mahdollisia menetelmiä vaihdettujen parametrien analysoimiseksi WhatsApp Web -istuntojen aikana.

Liikenneanalyysin komentosarjojen yksityiskohtainen selitys

Ensimmäinen käsikirjoitus hyödyntää mitmproxy, tehokas työkalu HTTP- ja HTTPS-liikenteen sieppaamiseen. Tässä skriptissä määrittelemme luokan WhatsAppWebAnalyzer joka tallentaa osoitetut pyynnöt web.whatsapp.com. The request menetelmää kutsutaan jokaiselle välityspalvelimen kautta kulkevalle HTTP-pyynnölle. Tarkistamalla, onko pyyntö tehty web.whatsapp.com, lisäämme laskuria ja kirjaamme pyynnön URL-osoitteen käyttämällä ctx.log.info. Tämän avulla voimme seurata ja kirjata kaikkea Android-laitteen ja WhatsApp Webin välistä viestintää, mikä antaa käsityksen QR-koodin skannausprosessin aikana vaihdetuista tiedoista. The addons lista rekisteröi mukautetun lisäosan mitmproxylle, mikä mahdollistaa skriptin suorittamisen saumattomasti, kun mitmproxy käynnistetään.

Toinen skripti käyttää tshark, Wiresharkin komentoriviversio verkkoliikenteen sieppaamiseen ja analysointiin. Käsky tshark -i wlan0 -w käynnistää sieppauksen langattomassa käyttöliittymässä ja kirjoittaa lähdön tiedostoon. Tämä tiedosto luetaan ja suodatetaan näyttämään vain Android-laitteen IP-osoitteeseen liittyvä liikenne käyttämällä tshark -r -Y -T json. JSON-tulostusta käsitellään edelleen jq, komentorivin JSON-prosessori, joka suodattaa HTTP/2-liikennettä käyttämällä jq '.[] | select(.layers.http2)'. Suodatettu liikenne tallennetaan ja näytetään käyttämällä cat whatsapp_filtered.json, joka tarjoaa yksityiskohtaisen kuvan WhatsApp-verkkoviestinnästä. Nämä skriptit yhdessä tarjoavat vankan menetelmän salatun liikenteen analysointiin, mikä auttaa paljastamaan WhatsApp Webin alustuksen aikana vaihdetut parametrit.

import mitmproxy.http
from mitmproxy import ctx

class WhatsAppWebAnalyzer:
    def __init__(self):
        self.num_requests = 0

    def request(self, flow: mitmproxy.http.HTTPFlow) -> None:
        if "web.whatsapp.com" in flow.request.pretty_host:
            self.num_requests += 1
            ctx.log.info(f"Request {self.num_requests}: {flow.request.pretty_url}")

addons = [WhatsAppWebAnalyzer()]

#!/bin/bash

# Start tshark to capture traffic from the Android device
tshark -i wlan0 -w whatsapp_traffic.pcapng

# Decrypt the captured traffic
tshark -r whatsapp_traffic.pcapng -Y 'ip.addr == <ANDROID_DEVICE_IP>' -T json > whatsapp_traffic.json

# Filter for WhatsApp Web traffic
cat whatsapp_traffic.json | jq '.[] | select(.layers.http2)' > whatsapp_filtered.json

# Print the filtered traffic
cat whatsapp_filtered.json

Tutkimme edistyneitä tekniikoita WhatsApp-verkkoliikenteen analysointiin

Yksi kriittinen näkökohta WhatsApp-verkkoliikenteen analysoinnissa on käytettyjen salausprotokollien ymmärtäminen. WhatsApp käyttää päästä päähän -salausta, mikä tarkoittaa, että viestit salataan lähettäjän laitteella ja salaus puretaan vain vastaanottajan laitteella. Tämä tekee liikenteen sieppaamisesta ja salauksen purkamisesta haastavan tehtävän. Avaintenvaihtomekanismin ja julkisten ja yksityisten avainten roolin ymmärtäminen voi kuitenkin antaa käsityksen mahdollisista haavoittuvuuksista ja laillisen sieppauksen menetelmistä. Lisäksi laitteen ja palvelimen välisen ensimmäisen kättelyn analysointi voi paljastaa arvokasta tietoa salausprosessista ja mahdollisesti vaihdettavista metatiedoista.

Toinen lähestymistapa on käyttää erikoislaitteita tai ohjelmistoja, jotka voivat suorittaa syvän pakettitarkistuksen (DPI). DPI-työkalut voivat analysoida datapakettien sisältöä niiden kulkiessa verkon läpi, mikä on hyödyllistä tiettyjen sovellusten tai protokollien tunnistamisessa, vaikka liikenne olisi salattua. Esimerkiksi Wiresharkin kaltaisten työkalujen käyttö yhdessä WhatsApp-liikenteeseen suunniteltujen laajennusten kanssa voi auttaa erittelemään viestintämalleja ja tunnistamaan vaihdettavien viestien tyypit. Lisäksi WhatsApp Webin käyttämän taustalla olevan WebSocket-protokollan ymmärtäminen voi tarjota lisänäkemyksiä, koska tällä protokollalla on merkittävä rooli reaaliaikaisessa viestinnässä selaimen ja WhatsApp-palvelimien välillä.