Аналіз обміну даними під час веб-ініціалізації WhatsApp

Розуміння веб-ініціалізації WhatsApp

У цифрову епоху розуміння зв’язку між пристроями має вирішальне значення, особливо для таких програм, як WhatsApp Web. Під час ініціалізації WhatsApp Web шляхом сканування QR-коду відбувається обмін різними параметрами між пристроєм Android і браузером. Цей процес передбачає зашифрований трафік, який може бути складним для аналізу.

Незважаючи на використання таких інструментів, як tpacketcapture і Burp Suite, із встановленим сертифікатом на пристрої, трафік залишається зашифрованим, що викликає питання щодо протоколів, які використовує WhatsApp. У цій статті розглядаються механізми, що стоять за цим процесом, і досліджуються можливі методи аналізу параметрів, якими обмінюються під час веб-сеансів WhatsApp.

Детальне пояснення сценаріїв аналізу трафіку

Перший сценарій використовує mitmproxy, потужний інструмент для перехоплення трафіку HTTP та HTTPS. У цьому скрипті ми визначаємо клас WhatsAppWebAnalyzer який фіксує запити, зроблені до web.whatsapp.com. The request метод викликається для кожного запиту HTTP, що проходить через проксі. Перевіривши, чи зроблено запит до web.whatsapp.com, ми збільшуємо лічильник і реєструємо URL-адресу запиту за допомогою ctx.log.info. Це дозволяє нам відстежувати та реєструвати весь зв’язок між пристроєм Android і WhatsApp Web, надаючи розуміння даних, якими обмінюються під час процесу сканування QR-коду. The addons list реєструє наш спеціальний аддон з mitmproxy, що дозволяє сценарію безперебійно працювати під час запуску mitmproxy.

Другий сценарій використовує tshark, версія Wireshark для командного рядка для захоплення та аналізу мережевого трафіку. Команда tshark -i wlan0 -w ініціює захоплення на бездротовому інтерфейсі та записує вихідні дані у файл. Потім цей файл читається та фільтрується для відображення лише трафіку, пов’язаного з IP-адресою пристрою Android, за допомогою tshark -r -Y -T json. Вихідні дані JSON додатково обробляються за допомогою jq, процесор JSON командного рядка, для фільтрації трафіку HTTP/2 за допомогою jq '.[] | select(.layers.http2)'. Відфільтрований трафік зберігається та відображається за допомогою cat whatsapp_filtered.json, надаючи детальний перегляд веб-спілкування WhatsApp. Ці сценарії разом пропонують надійний метод аналізу зашифрованого трафіку, допомагаючи виявити параметри, якими обмінюються під час ініціалізації WhatsApp Web.

import mitmproxy.http
from mitmproxy import ctx

class WhatsAppWebAnalyzer:
    def __init__(self):
        self.num_requests = 0

    def request(self, flow: mitmproxy.http.HTTPFlow) -> None:
        if "web.whatsapp.com" in flow.request.pretty_host:
            self.num_requests += 1
            ctx.log.info(f"Request {self.num_requests}: {flow.request.pretty_url}")

addons = [WhatsAppWebAnalyzer()]

#!/bin/bash

# Start tshark to capture traffic from the Android device
tshark -i wlan0 -w whatsapp_traffic.pcapng

# Decrypt the captured traffic
tshark -r whatsapp_traffic.pcapng -Y 'ip.addr == <ANDROID_DEVICE_IP>' -T json > whatsapp_traffic.json

# Filter for WhatsApp Web traffic
cat whatsapp_traffic.json | jq '.[] | select(.layers.http2)' > whatsapp_filtered.json

# Print the filtered traffic
cat whatsapp_filtered.json

Вивчення передових методів для аналізу веб-трафіку WhatsApp

Важливим аспектом аналізу веб-трафіку WhatsApp є розуміння використовуваних протоколів шифрування. WhatsApp використовує наскрізне шифрування, що означає, що повідомлення шифруються на пристрої відправника та розшифровуються лише на пристрої одержувача. Це робить перехоплення та дешифрування трафіку складним завданням. Однак розуміння механізму обміну ключами та ролі відкритих і закритих ключів може дати розуміння потенційних вразливостей і методів законного перехоплення. Крім того, аналіз початкового рукостискання між пристроєм і сервером може виявити цінну інформацію про процес шифрування та будь-які метадані, якими можна обмінюватися.

Інший підхід полягає у використанні спеціалізованого обладнання або програмного забезпечення, яке може виконувати глибоку перевірку пакетів (DPI). Інструменти DPI можуть аналізувати вміст пакетів даних, коли вони проходять через мережу, що корисно для визначення конкретних програм або протоколів, навіть якщо трафік зашифрований. Наприклад, використання таких інструментів, як Wireshark, у поєднанні з плагінами, призначеними для трафіку WhatsApp, може допомогти розібрати шаблони спілкування та визначити типи повідомлень, якими обмінюються. Крім того, розуміння основного протоколу WebSocket, який використовується WhatsApp Web, може запропонувати додаткову інформацію, оскільки цей протокол відіграє важливу роль у спілкуванні в реальному часі між браузером і серверами WhatsApp.