Analýza výmeny údajov počas inicializácie webu WhatsApp

Pochopenie inicializácie webu WhatsApp

V digitálnom veku je pochopenie komunikácie medzi zariadeniami kľúčové, najmä pre aplikácie ako WhatsApp Web. Pri inicializácii WhatsApp Web skenovaním QR kódu sa medzi zariadením Android a prehliadačom vymieňajú rôzne parametre. Tento proces zahŕňa šifrovanú prevádzku, ktorej analýza môže byť náročná.

Napriek používaniu nástrojov ako tpacketcapture a Burp Suite s certifikátom nainštalovaným v zariadení zostáva prenos šifrovaný, čo vyvoláva otázky o protokoloch používaných WhatsApp. Tento článok sa ponorí do mechanizmov tohto procesu a skúma potenciálne metódy analýzy vymenených parametrov počas relácií WhatsApp Web.

Podrobné vysvetlenie skriptov analýzy návštevnosti

Prvý skript využíva mitmproxy, výkonný nástroj na zachytávanie návštevnosti HTTP a HTTPS. V tomto skripte definujeme triedu WhatsAppWebAnalyzer ktorý zachytáva požiadavky predložené web.whatsapp.com. The request metóda je vyvolaná pre každú požiadavku HTTP prechádzajúcu cez proxy. Kontrolou, či je žiadosť podaná web.whatsapp.com, zvýšime počítadlo a zaznamenáme adresu URL požiadavky pomocou ctx.log.info. To nám umožňuje monitorovať a zaznamenávať všetku komunikáciu medzi zariadením so systémom Android a webom WhatsApp a poskytuje prehľad o údajoch vymieňaných počas procesu skenovania QR kódu. The addons list registruje náš vlastný doplnok s mitmproxy, čo umožňuje bezproblémové spustenie skriptu pri spustení mitmproxy.

Druhý skript využíva tshark, verzia Wireshark s príkazovým riadkom, na zachytávanie a analýzu sieťovej prevádzky. Príkaz tshark -i wlan0 -w spustí zachytávanie na bezdrôtovom rozhraní a zapíše výstup do súboru. Tento súbor sa potom načíta a filtruje, aby sa zobrazila iba prevádzka súvisiaca s IP adresou zariadenia Android pomocou tshark -r -Y -T json. Výstup JSON sa ďalej spracováva s jq, procesor JSON príkazového riadka na filtrovanie návštevnosti HTTP/2 pomocou jq '.[] | select(.layers.http2)'. Filtrovaná prevádzka sa uloží a zobrazí pomocou cat whatsapp_filtered.json, ktorý poskytuje podrobný pohľad na komunikáciu WhatsApp Web. Kombinácia týchto skriptov ponúka robustnú metódu na analýzu šifrovanej prevádzky a pomáha odhaliť parametre vymieňané počas inicializácie WhatsApp Web.

import mitmproxy.http
from mitmproxy import ctx

class WhatsAppWebAnalyzer:
    def __init__(self):
        self.num_requests = 0

    def request(self, flow: mitmproxy.http.HTTPFlow) -> None:
        if "web.whatsapp.com" in flow.request.pretty_host:
            self.num_requests += 1
            ctx.log.info(f"Request {self.num_requests}: {flow.request.pretty_url}")

addons = [WhatsAppWebAnalyzer()]

#!/bin/bash

# Start tshark to capture traffic from the Android device
tshark -i wlan0 -w whatsapp_traffic.pcapng

# Decrypt the captured traffic
tshark -r whatsapp_traffic.pcapng -Y 'ip.addr == <ANDROID_DEVICE_IP>' -T json > whatsapp_traffic.json

# Filter for WhatsApp Web traffic
cat whatsapp_traffic.json | jq '.[] | select(.layers.http2)' > whatsapp_filtered.json

# Print the filtered traffic
cat whatsapp_filtered.json

Skúmanie pokročilých techník pre analýzu návštevnosti webu WhatsApp

Jedným z kritických aspektov analýzy návštevnosti WhatsApp Web je pochopenie používaných šifrovacích protokolov. WhatsApp využíva end-to-end šifrovanie, čo znamená, že správy sú šifrované na zariadení odosielateľa a dešifrované iba na zariadení príjemcu. Vďaka tomu je zachytenie a dešifrovanie prevádzky náročná úloha. Pochopenie mechanizmu výmeny kľúčov a úlohy verejných a súkromných kľúčov však môže poskytnúť prehľad o potenciálnych zraniteľnostiach a metódach zákonného odpočúvania. Okrem toho analýza počiatočného nadviazania spojenia medzi zariadením a serverom môže odhaliť cenné informácie o procese šifrovania a akýchkoľvek metaúdajoch, ktoré by sa mohli vymieňať.

Ďalším prístupom je použitie špecializovaného hardvéru alebo softvéru, ktorý dokáže vykonávať hĺbkovú kontrolu paketov (DPI). Nástroje DPI dokážu analyzovať obsah dátových paketov pri ich prechode cez sieť, čo je užitočné na identifikáciu konkrétnych aplikácií alebo protokolov, aj keď je prenos šifrovaný. Napríklad používanie nástrojov ako Wireshark v kombinácii s doplnkami navrhnutými pre prevádzku WhatsApp môže pomôcť rozobrať komunikačné vzorce a identifikovať typy vymieňaných správ. Okrem toho pochopenie základného protokolu WebSocket, ktorý používa WhatsApp Web, môže poskytnúť ďalšie informácie, pretože tento protokol hrá významnú úlohu v komunikácii medzi prehliadačom a servermi WhatsApp v reálnom čase.