Duomenų mainų analizė „WhatsApp“ žiniatinklio inicijavimo metu

„WhatsApp“ žiniatinklio inicijavimo supratimas

Skaitmeniniame amžiuje labai svarbu suprasti ryšį tarp įrenginių, ypač tokioms programoms kaip „WhatsApp Web“. Inicijuojant WhatsApp Web nuskaitant QR kodą, Android įrenginys ir naršyklė keičiasi įvairiais parametrais. Šis procesas apima užšifruotą srautą, kurį gali būti sudėtinga analizuoti.

Nepaisant to, kad naudojami tokie įrankiai kaip tpacketcapture ir Burp Suite su sertifikatu, įdiegtu įrenginyje, srautas išlieka užšifruotas, todėl kyla klausimų apie WhatsApp naudojamus protokolus. Šiame straipsnyje gilinamasi į šio proceso mechanizmus ir nagrinėjami galimi keičiamų parametrų analizės metodai per WhatsApp Web seansus.

Išsamus srauto analizės scenarijų paaiškinimas

Pirmasis scenarijus svertų mitmproxy, galingas HTTP ir HTTPS srauto perėmimo įrankis. Šiame scenarijuje mes apibrėžiame klasę WhatsAppWebAnalyzer kuri fiksuoja pateiktus prašymus web.whatsapp.com. The request metodas iškviečiamas kiekvienai HTTP užklausai, perduodamai per tarpinį serverį. Patikrinus, ar prašymas pateiktas web.whatsapp.com, padidiname skaitiklį ir užregistruojame užklausos URL naudodami ctx.log.info. Tai leidžia mums stebėti ir registruoti visą ryšį tarp „Android“ įrenginio ir „WhatsApp Web“, suteikiant įžvalgą apie duomenis, kuriais keičiamasi QR kodo nuskaitymo proceso metu. The addons list registruoja mūsų pasirinktinį priedą su mitmproxy, leidžiančiu scenarijui sklandžiai paleisti, kai paleidžiama mitmproxy.

Antrasis scenarijus naudoja tshark, „Wireshark“ komandų eilutės versija, skirta tinklo srautui fiksuoti ir analizuoti. Komanda tshark -i wlan0 -w inicijuoja fiksavimą belaidėje sąsajoje ir įrašo išvestį į failą. Tada šis failas nuskaitomas ir filtruojamas, kad būtų rodomas tik srautas, susijęs su „Android“ įrenginio IP adresu, naudojant tshark -r -Y -T json. JSON išvestis toliau apdorojama naudojant jq, komandinės eilutės JSON procesorius, skirtas filtruoti HTTP/2 srautą naudojant jq '.[] | select(.layers.http2)'. Filtruotas srautas išsaugomas ir rodomas naudojant cat whatsapp_filtered.json, kuriame pateikiamas išsamus „WhatsApp“ žiniatinklio komunikacijos vaizdas. Šie scenarijai kartu siūlo patikimą metodą šifruoto srauto analizei, padedančius atskleisti parametrus, kuriais buvo keičiamasi „WhatsApp Web“ inicijavimo metu.

import mitmproxy.http
from mitmproxy import ctx

class WhatsAppWebAnalyzer:
    def __init__(self):
        self.num_requests = 0

    def request(self, flow: mitmproxy.http.HTTPFlow) -> None:
        if "web.whatsapp.com" in flow.request.pretty_host:
            self.num_requests += 1
            ctx.log.info(f"Request {self.num_requests}: {flow.request.pretty_url}")

addons = [WhatsAppWebAnalyzer()]

#!/bin/bash

# Start tshark to capture traffic from the Android device
tshark -i wlan0 -w whatsapp_traffic.pcapng

# Decrypt the captured traffic
tshark -r whatsapp_traffic.pcapng -Y 'ip.addr == <ANDROID_DEVICE_IP>' -T json > whatsapp_traffic.json

# Filter for WhatsApp Web traffic
cat whatsapp_traffic.json | jq '.[] | select(.layers.http2)' > whatsapp_filtered.json

# Print the filtered traffic
cat whatsapp_filtered.json

Pažangių „WhatsApp“ žiniatinklio srauto analizės metodų tyrinėjimas

Vienas iš svarbiausių „WhatsApp“ žiniatinklio srauto analizės aspektų yra suprasti naudojamus šifravimo protokolus. „WhatsApp“ naudoja visišką šifravimą, o tai reiškia, kad pranešimai užšifruojami siuntėjo įrenginyje ir iššifruojami tik gavėjo įrenginyje. Dėl to srauto perėmimas ir iššifravimas yra sudėtinga užduotis. Tačiau supratimas apie keitimosi raktais mechanizmą ir viešųjų bei privačiųjų raktų vaidmenį gali padėti suprasti galimus pažeidžiamumus ir teisėto perėmimo būdus. Be to, išanalizavus pradinį įrenginio ir serverio rankos paspaudimą, galima atskleisti vertingos informacijos apie šifravimo procesą ir bet kokius metaduomenis, kuriais galima keistis.

Kitas būdas yra naudoti specializuotą aparatinę ar programinę įrangą, kuri gali atlikti gilų paketų patikrinimą (DPI). DPI įrankiai gali analizuoti duomenų paketų turinį, kai jie eina per tinklą, o tai naudinga nustatant konkrečias programas ar protokolus, net jei srautas yra užšifruotas. Pavyzdžiui, naudojant tokius įrankius kaip „Wireshark“ kartu su „WhatsApp“ srautui skirtais įskiepiais, galima išsklaidyti komunikacijos modelius ir nustatyti pranešimų, kuriais keičiamasi, tipus. Be to, supratimas apie pagrindinį „WhatsApp Web“ naudojamą „WebSocket“ protokolą gali pasiūlyti papildomų įžvalgų, nes šis protokolas atlieka svarbų vaidmenį bendraujant realiuoju laiku tarp naršyklės ir „WhatsApp“ serverių.