Анализа размене података током иницијализације ВхатсАпп веба

Разумевање ВхатсАпп веб иницијализације

У дигиталном добу, разумевање комуникације између уређаја је кључно, посебно за апликације као што је ВхатсАпп Веб. Када се иницијализује ВхатсАпп Веб скенирањем КР кода, различити параметри се размењују између Андроид уређаја и претраживача. Овај процес укључује шифровани саобраћај који може бити изазован за анализу.

Упркос коришћењу алата као што су тпацкетцаптуре и Бурп Суите са својим сертификатом инсталираним на уређају, саобраћај остаје шифрован, што поставља питања о протоколима које користи ВхатсАпп. Овај чланак се бави механизмима који стоје иза овог процеса и истражује потенцијалне методе за анализу размењених параметара током ВхатсАпп веб сесија.

Детаљно објашњење скрипти за анализу саобраћаја

Први сценарио користи mitmproxy, моћан алат за пресретање ХТТП и ХТТПС саобраћаја. У овој скрипти дефинишемо класу WhatsAppWebAnalyzer који обухвата захтеве упућене web.whatsapp.com. Тхе request метода се позива за сваки ХТТП захтев који пролази кроз прокси. Проверавањем да ли је захтев упућен на web.whatsapp.com, повећавамо бројач и евидентирамо УРЛ захтева користећи ctx.log.info. Ово нам омогућава да надгледамо и евидентирамо сву комуникацију између Андроид уређаја и ВхатсАпп Веба, пружајући увид у податке који се размењују током процеса скенирања КР кода. Тхе addons листа региструје наш прилагођени додатак са митмпроки, омогућавајући скрипту да се беспрекорно покреће када се митмпроки покрене.

Друга скрипта користи tshark, верзија Виресхарка са командне линије, за снимање и анализу мрежног саобраћаја. Команда tshark -i wlan0 -w иницира снимање на бежичном интерфејсу и уписује излаз у датотеку. Ова датотека се затим чита и филтрира да прикаже само саобраћај који се односи на ИП адресу Андроид уређаја, користећи tshark -r -Y -T json. ЈСОН излаз се даље обрађује са jq, ЈСОН процесор командне линије, за филтрирање ХТТП/2 саобраћаја коришћењем jq '.[] | select(.layers.http2)'. Филтрирани саобраћај се чува и приказује помоћу cat whatsapp_filtered.json, пружајући детаљан приказ ВхатсАпп веб комуникације. Ове скрипте, комбиноване, нуде робустан метод за анализу шифрованог саобраћаја, помажући да се открију параметри размењени током иницијализације ВхатсАпп Веб-а.

import mitmproxy.http
from mitmproxy import ctx

class WhatsAppWebAnalyzer:
    def __init__(self):
        self.num_requests = 0

    def request(self, flow: mitmproxy.http.HTTPFlow) -> None:
        if "web.whatsapp.com" in flow.request.pretty_host:
            self.num_requests += 1
            ctx.log.info(f"Request {self.num_requests}: {flow.request.pretty_url}")

addons = [WhatsAppWebAnalyzer()]

#!/bin/bash

# Start tshark to capture traffic from the Android device
tshark -i wlan0 -w whatsapp_traffic.pcapng

# Decrypt the captured traffic
tshark -r whatsapp_traffic.pcapng -Y 'ip.addr == <ANDROID_DEVICE_IP>' -T json > whatsapp_traffic.json

# Filter for WhatsApp Web traffic
cat whatsapp_traffic.json | jq '.[] | select(.layers.http2)' > whatsapp_filtered.json

# Print the filtered traffic
cat whatsapp_filtered.json

Истраживање напредних техника за анализу веб саобраћаја ВхатсАпп

Један од критичних аспеката анализе ВхатсАпп веб саобраћаја је разумевање коришћених протокола за шифровање. ВхатсАпп користи енд-то-енд енкрипцију, што значи да су поруке шифроване на уређају пошиљаоца и само дешифроване на уређају примаоца. Ово чини пресретање и дешифровање саобраћаја изазовним задатком. Међутим, разумевање механизма размене кључева и улоге јавних и приватних кључева може пружити увид у потенцијалне рањивости и методе законитог пресретања. Поред тога, анализа почетног руковања између уређаја и сервера може открити вредне информације о процесу шифровања и свим метаподацима који се могу разменити.

Други приступ је коришћење специјализованог хардвера или софтвера који може да изврши дубоку инспекцију пакета (ДПИ). ДПИ алати могу анализирати садржај пакета података док они пролазе кроз мрежу, што је корисно за идентификацију специфичних апликација или протокола чак и ако је саобраћај шифрован. На пример, коришћење алата као што је Виресхарк у комбинацији са додацима дизајнираним за ВхатсАпп саобраћај може помоћи да се сецирају комуникацијски обрасци и идентификују врсте порука које се размењују. Штавише, разумевање основног ВебСоцкет протокола који користи ВхатсАпп Веб може понудити додатне увиде, пошто овај протокол игра значајну улогу у комуникацији у реалном времену између претраживача и ВхатсАпп сервера.