Analiza razmjene podataka tijekom WhatsApp web inicijalizacije

Razumijevanje WhatsApp web inicijalizacije

U digitalnom dobu, razumijevanje komunikacije između uređaja ključno je, posebno za aplikacije kao što je WhatsApp Web. Prilikom inicijalizacije WhatsApp Weba skeniranjem QR koda, razmjenjuju se različiti parametri između Android uređaja i preglednika. Ovaj proces uključuje kriptirani promet koji može biti težak za analizu.

Unatoč korištenju alata kao što su tpacketcapture i Burp Suite sa svojim certifikatom instaliranim na uređaju, promet ostaje šifriran, postavljajući pitanja o protokolima koje koristi WhatsApp. Ovaj članak istražuje mehanizme koji stoje iza ovog procesa i istražuje potencijalne metode za analizu razmijenjenih parametara tijekom WhatsApp Web sesija.

Detaljno objašnjenje skripti za analizu prometa

Prva skripta koristi mitmproxy, moćan alat za presretanje HTTP i HTTPS prometa. U ovoj skripti definiramo klasu WhatsAppWebAnalyzer koji bilježi zahtjeve upućene web.whatsapp.com. The request metoda se poziva za svaki HTTP zahtjev koji prolazi kroz proxy. Provjerom je li zahtjev upućen na web.whatsapp.com, povećavamo brojač i bilježimo URL zahtjeva pomoću ctx.log.info. To nam omogućuje praćenje i evidentiranje sve komunikacije između Android uređaja i WhatsApp Weba, pružajući uvid u podatke koji se razmjenjuju tijekom procesa skeniranja QR koda. The addons popis registrira naš prilagođeni dodatak s mitmproxyjem, omogućujući skripti da radi bez problema kada se mitmproxy pokrene.

Druga skripta koristi tshark, verzija Wiresharka za naredbeni redak, za snimanje i analizu mrežnog prometa. Zapovijed tshark -i wlan0 -w inicira snimanje na bežičnom sučelju i zapisuje izlaz u datoteku. Ova se datoteka zatim čita i filtrira kako bi se prikazao samo promet povezan s IP adresom Android uređaja, pomoću tshark -r -Y -T json. JSON izlaz se dalje obrađuje s jq, JSON procesor naredbenog retka, za filtriranje HTTP/2 prometa pomoću jq '.[] | select(.layers.http2)'. Filtrirani promet se sprema i prikazuje pomoću cat whatsapp_filtered.json, pružajući detaljan prikaz WhatsApp web komunikacije. Ove skripte, u kombinaciji, nude robusnu metodu za analizu kriptiranog prometa, pomažući u otkrivanju parametara razmijenjenih tijekom inicijalizacije WhatsApp Weba.

import mitmproxy.http
from mitmproxy import ctx

class WhatsAppWebAnalyzer:
    def __init__(self):
        self.num_requests = 0

    def request(self, flow: mitmproxy.http.HTTPFlow) -> None:
        if "web.whatsapp.com" in flow.request.pretty_host:
            self.num_requests += 1
            ctx.log.info(f"Request {self.num_requests}: {flow.request.pretty_url}")

addons = [WhatsAppWebAnalyzer()]

#!/bin/bash

# Start tshark to capture traffic from the Android device
tshark -i wlan0 -w whatsapp_traffic.pcapng

# Decrypt the captured traffic
tshark -r whatsapp_traffic.pcapng -Y 'ip.addr == <ANDROID_DEVICE_IP>' -T json > whatsapp_traffic.json

# Filter for WhatsApp Web traffic
cat whatsapp_traffic.json | jq '.[] | select(.layers.http2)' > whatsapp_filtered.json

# Print the filtered traffic
cat whatsapp_filtered.json

Istraživanje naprednih tehnika za analizu WhatsApp web prometa

Jedan kritični aspekt analize WhatsApp Web prometa je razumijevanje korištenih protokola šifriranja. WhatsApp koristi end-to-end enkripciju, što znači da su poruke šifrirane na uređaju pošiljatelja i samo dekriptirane na uređaju primatelja. Zbog toga je presretanje i dešifriranje prometa izazovan zadatak. Međutim, razumijevanje mehanizma razmjene ključeva i uloge javnih i privatnih ključeva može pružiti uvid u potencijalne ranjivosti i metode za zakonito presretanje. Osim toga, analiza početnog rukovanja između uređaja i poslužitelja može otkriti vrijedne informacije o procesu enkripcije i svim metapodacima koji bi se mogli razmijeniti.

Drugi pristup je korištenje specijaliziranog hardvera ili softvera koji može izvršiti duboku inspekciju paketa (DPI). DPI alati mogu analizirati sadržaj paketa podataka dok prolaze kroz mrežu, što je korisno za prepoznavanje specifičnih aplikacija ili protokola čak i ako je promet šifriran. Na primjer, korištenje alata kao što je Wireshark u kombinaciji s dodacima dizajniranim za WhatsApp promet može pomoći u raščlanjivanju komunikacijskih obrazaca i identificiranju vrsta poruka koje se razmjenjuju. Nadalje, razumijevanje temeljnog WebSocket protokola koji koristi WhatsApp Web može ponuditi dodatne uvide, budući da ovaj protokol igra značajnu ulogu u komunikaciji u stvarnom vremenu između preglednika i WhatsApp poslužitelja.