Analizarea schimbului de date în timpul inițializării web WhatsApp

Înțelegerea inițializării web WhatsApp

În era digitală, înțelegerea comunicării dintre dispozitive este crucială, în special pentru aplicații precum WhatsApp Web. La inițializarea WhatsApp Web prin scanarea codului QR, diverși parametri sunt schimbați între dispozitivul Android și browser. Acest proces implică trafic criptat care poate fi dificil de analizat.

În ciuda folosirii unor instrumente precum tpacketcapture și Burp Suite cu certificatul său instalat pe dispozitiv, traficul rămâne criptat, ridicând întrebări cu privire la protocoalele folosite de WhatsApp. Acest articol analizează mecanismele din spatele acestui proces și explorează posibilele metode de analiză a parametrilor schimbați în timpul sesiunilor WhatsApp Web.

Explicație detaliată a scripturilor de analiză a traficului

Primul script folosește mitmproxy, un instrument puternic pentru interceptarea traficului HTTP și HTTPS. În acest script, definim o clasă WhatsAppWebAnalyzer care surprinde cererile adresate web.whatsapp.com. The request metoda este invocată pentru fiecare cerere HTTP care trece prin proxy. Prin verificarea dacă cererea este făcută către web.whatsapp.com, incrementăm un contor și înregistrăm adresa URL a solicitării folosind ctx.log.info. Acest lucru ne permite să monitorizăm și să înregistrăm toate comunicările dintre dispozitivul Android și WhatsApp Web, oferind o perspectivă asupra datelor schimbate în timpul procesului de scanare a codului QR. The addons list înregistrează suplimentul nostru personalizat cu mitmproxy, permițând scriptului să ruleze fără probleme atunci când este pornit mitmproxy.

Al doilea script folosește tshark, versiunea de linie de comandă a Wireshark, pentru captarea și analiza traficului de rețea. Comanda tshark -i wlan0 -w inițiază o captură pe interfața wireless și scrie rezultatul într-un fișier. Acest fișier este apoi citit și filtrat pentru a afișa numai traficul legat de adresa IP a dispozitivului Android, folosind tshark -r -Y -T json. Ieșirea JSON este procesată în continuare cu jq, un procesor JSON de linie de comandă, pentru a filtra traficul HTTP/2 prin utilizarea jq '.[] | select(.layers.http2)'. Traficul filtrat este salvat și afișat folosind cat whatsapp_filtered.json, oferind o vedere detaliată a comunicării WhatsApp Web. Aceste scripturi, combinate, oferă o metodă robustă de analiză a traficului criptat, ajutând la descoperirea parametrilor schimbați în timpul inițializării WhatsApp Web.

import mitmproxy.http
from mitmproxy import ctx

class WhatsAppWebAnalyzer:
    def __init__(self):
        self.num_requests = 0

    def request(self, flow: mitmproxy.http.HTTPFlow) -> None:
        if "web.whatsapp.com" in flow.request.pretty_host:
            self.num_requests += 1
            ctx.log.info(f"Request {self.num_requests}: {flow.request.pretty_url}")

addons = [WhatsAppWebAnalyzer()]

#!/bin/bash

# Start tshark to capture traffic from the Android device
tshark -i wlan0 -w whatsapp_traffic.pcapng

# Decrypt the captured traffic
tshark -r whatsapp_traffic.pcapng -Y 'ip.addr == <ANDROID_DEVICE_IP>' -T json > whatsapp_traffic.json

# Filter for WhatsApp Web traffic
cat whatsapp_traffic.json | jq '.[] | select(.layers.http2)' > whatsapp_filtered.json

# Print the filtered traffic
cat whatsapp_filtered.json

Explorarea tehnicilor avansate pentru analiza traficului web WhatsApp

Un aspect critic al analizei traficului WhatsApp Web este înțelegerea protocoalelor de criptare utilizate. WhatsApp folosește criptare end-to-end, ceea ce înseamnă că mesajele sunt criptate pe dispozitivul expeditorului și decriptate doar pe dispozitivul destinatarului. Acest lucru face ca interceptarea și decriptarea traficului să fie o sarcină dificilă. Cu toate acestea, înțelegerea mecanismului de schimb de chei și a rolului cheilor publice și private poate oferi informații despre potențialele vulnerabilități și metode de interceptare legală. În plus, analizarea strângerii de mână inițiale între dispozitiv și server poate dezvălui informații valoroase despre procesul de criptare și despre orice metadate care ar putea fi schimbate.

O altă abordare este utilizarea hardware-ului sau software-ului specializat care poate efectua inspecția profundă a pachetelor (DPI). Instrumentele DPI pot analiza conținutul pachetelor de date pe măsură ce acestea trec printr-o rețea, ceea ce este util pentru identificarea unor aplicații sau protocoale specifice chiar dacă traficul este criptat. De exemplu, utilizarea unor instrumente precum Wireshark în combinație cu pluginuri concepute pentru traficul WhatsApp poate ajuta la disecția tiparelor de comunicare și la identificarea tipurilor de mesaje schimbate. În plus, înțelegerea protocolului WebSocket de bază utilizat de WhatsApp Web poate oferi informații suplimentare, deoarece acest protocol joacă un rol semnificativ în comunicarea în timp real între browser și serverele WhatsApp.