Analiza izmenjave podatkov med spletno inicializacijo WhatsApp

Razumevanje spletne inicializacije WhatsApp

V digitalni dobi je razumevanje komunikacije med napravami ključnega pomena, zlasti za aplikacije, kot je WhatsApp Web. Pri inicializaciji WhatsApp Web s skeniranjem kode QR se med napravo Android in brskalnikom izmenjujejo različni parametri. Ta postopek vključuje šifriran promet, ki ga je lahko težko analizirati.

Kljub uporabi orodij, kot sta tpacketcapture in Burp Suite, s certifikatom, nameščenim v napravi, promet ostaja šifriran, kar sproža vprašanja o protokolih, ki jih uporablja WhatsApp. Ta članek se poglobi v mehanizme za tem postopkom in razišče možne metode za analizo izmenjanih parametrov med spletnimi sejami WhatsApp.

Podrobna razlaga skriptov za analizo prometa

Prvi scenarij izkorišča mitmproxy, zmogljivo orodje za prestrezanje prometa HTTP in HTTPS. V tem skriptu definiramo razred WhatsAppWebAnalyzer ki zajame zahteve za web.whatsapp.com. The request metoda se prikliče za vsako zahtevo HTTP, ki poteka skozi proxy. S preverjanjem, ali je zahteva vložena na web.whatsapp.com, povečamo števec in zabeležimo URL zahteve z uporabo ctx.log.info. To nam omogoča spremljanje in beleženje vse komunikacije med napravo Android in WhatsApp Web, kar omogoča vpogled v izmenjane podatke med postopkom skeniranja kode QR. The addons seznam registrira naš dodatek po meri z mitmproxy, kar omogoča nemoteno delovanje skripta, ko se zažene mitmproxy.

Drugi skript uporablja tshark, različico Wiresharka v ukazni vrstici, za zajem in analizo omrežnega prometa. Ukaz tshark -i wlan0 -w sproži zajem na brezžičnem vmesniku in zapiše izhod v datoteko. Ta datoteka se nato prebere in filtrira, da prikaže samo promet, povezan z naslovom IP naprave Android, z uporabo tshark -r -Y -T json. Izhod JSON je nadalje obdelan z jq, procesor JSON ukazne vrstice, za filtriranje prometa HTTP/2 z uporabo jq '.[] | select(.layers.http2)'. Filtrirani promet se shrani in prikaže z uporabo cat whatsapp_filtered.json, ki zagotavlja podroben pregled spletne komunikacije WhatsApp. Ti skripti skupaj ponujajo robustno metodo za analizo šifriranega prometa in pomagajo odkriti parametre, izmenjane med inicializacijo WhatsApp Web.

import mitmproxy.http
from mitmproxy import ctx

class WhatsAppWebAnalyzer:
    def __init__(self):
        self.num_requests = 0

    def request(self, flow: mitmproxy.http.HTTPFlow) -> None:
        if "web.whatsapp.com" in flow.request.pretty_host:
            self.num_requests += 1
            ctx.log.info(f"Request {self.num_requests}: {flow.request.pretty_url}")

addons = [WhatsAppWebAnalyzer()]

#!/bin/bash

# Start tshark to capture traffic from the Android device
tshark -i wlan0 -w whatsapp_traffic.pcapng

# Decrypt the captured traffic
tshark -r whatsapp_traffic.pcapng -Y 'ip.addr == <ANDROID_DEVICE_IP>' -T json > whatsapp_traffic.json

# Filter for WhatsApp Web traffic
cat whatsapp_traffic.json | jq '.[] | select(.layers.http2)' > whatsapp_filtered.json

# Print the filtered traffic
cat whatsapp_filtered.json

Raziskovanje naprednih tehnik za analizo spletnega prometa WhatsApp

Eden ključnih vidikov analize spletnega prometa WhatsApp je razumevanje uporabljenih šifrirnih protokolov. WhatsApp uporablja šifriranje od konca do konca, kar pomeni, da so sporočila šifrirana v napravi pošiljatelja in dešifrirana samo v napravi prejemnika. Zaradi tega je prestrezanje in dešifriranje prometa zahtevna naloga. Vendar pa lahko razumevanje mehanizma izmenjave ključev ter vloge javnih in zasebnih ključev zagotovi vpogled v možne ranljivosti in metode za zakonito prestrezanje. Poleg tega lahko analiza začetnega rokovanja med napravo in strežnikom razkrije dragocene informacije o procesu šifriranja in vseh metapodatkih, ki bi se lahko izmenjali.

Drug pristop je uporaba specializirane strojne ali programske opreme, ki lahko izvaja globoko preverjanje paketov (DPI). Orodja DPI lahko analizirajo vsebino podatkovnih paketov, ko gredo skozi omrežje, kar je uporabno za prepoznavanje določenih aplikacij ali protokolov, tudi če je promet šifriran. Na primer, uporaba orodij, kot je Wireshark, v kombinaciji z vtičniki, zasnovanimi za promet WhatsApp, lahko pomaga razčleniti komunikacijske vzorce in identificirati vrste sporočil, ki se izmenjujejo. Poleg tega lahko razumevanje osnovnega protokola WebSocket, ki ga uporablja WhatsApp Web, ponudi dodatne vpoglede, saj ima ta protokol pomembno vlogo pri komunikaciji v realnem času med brskalnikom in strežniki WhatsApp.