Phân tích trao đổi dữ liệu trong quá trình khởi tạo web WhatsApp

Tìm hiểu về khởi tạo web WhatsApp

Trong thời đại kỹ thuật số, việc hiểu rõ giao tiếp giữa các thiết bị là rất quan trọng, đặc biệt đối với các ứng dụng như WhatsApp Web. Khi khởi chạy WhatsApp Web bằng cách quét mã QR, nhiều thông số khác nhau sẽ được trao đổi giữa thiết bị Android và trình duyệt. Quá trình này liên quan đến lưu lượng được mã hóa có thể khó phân tích.

Mặc dù sử dụng các công cụ như tpacketcapture và Burp Suite với chứng chỉ được cài đặt trên thiết bị, lưu lượng truy cập vẫn được mã hóa, đặt ra câu hỏi về các giao thức được WhatsApp sử dụng. Bài viết này đi sâu vào các cơ chế đằng sau quá trình này và khám phá các phương pháp tiềm năng để phân tích các tham số được trao đổi trong các phiên Web WhatsApp.

Giải thích chi tiết về tập lệnh phân tích lưu lượng truy cập

Kịch bản đầu tiên tận dụng mitmproxy, một công cụ mạnh mẽ để chặn lưu lượng HTTP và HTTPS. Trong tập lệnh này, chúng tôi định nghĩa một lớp WhatsAppWebAnalyzer nắm bắt các yêu cầu được thực hiện để web.whatsapp.com. Các request phương thức được gọi cho mỗi yêu cầu HTTP đi qua proxy. Bằng cách kiểm tra xem yêu cầu có được thực hiện hay không web.whatsapp.com, chúng tôi tăng bộ đếm và ghi lại URL yêu cầu bằng cách sử dụng ctx.log.info. Điều này cho phép chúng tôi giám sát và ghi lại tất cả giao tiếp giữa thiết bị Android và WhatsApp Web, cung cấp thông tin chi tiết về dữ liệu được trao đổi trong quá trình quét mã QR. Các addons list đăng ký tiện ích bổ sung tùy chỉnh của chúng tôi với mitmproxy, cho phép tập lệnh chạy liền mạch khi khởi động mitmproxy.

Kịch bản thứ hai sử dụng tshark, phiên bản dòng lệnh của Wireshark, để thu thập và phân tích lưu lượng mạng. Lệnh số 8 bắt đầu chụp trên giao diện không dây và ghi kết quả đầu ra vào một tập tin. Sau đó, tệp này được đọc và lọc để chỉ hiển thị lưu lượng truy cập liên quan đến địa chỉ IP của thiết bị Android, sử dụng tshark -r -Y -T json. Đầu ra JSON được xử lý thêm với jq, bộ xử lý JSON dòng lệnh, để lọc lưu lượng HTTP/2 bằng cách sử dụng jq '.[] | select(.layers.http2)'. Lưu lượng đã lọc được lưu và hiển thị bằng cách sử dụng cat whatsapp_filtered.json, cung cấp cái nhìn chi tiết về giao tiếp Web WhatsApp. Các tập lệnh này khi kết hợp lại sẽ cung cấp một phương pháp mạnh mẽ để phân tích lưu lượng được mã hóa, giúp khám phá các tham số được trao đổi trong quá trình khởi tạo WhatsApp Web.

import mitmproxy.http
from mitmproxy import ctx

class WhatsAppWebAnalyzer:
    def __init__(self):
        self.num_requests = 0

    def request(self, flow: mitmproxy.http.HTTPFlow) -> None:
        if "web.whatsapp.com" in flow.request.pretty_host:
            self.num_requests += 1
            ctx.log.info(f"Request {self.num_requests}: {flow.request.pretty_url}")

addons = [WhatsAppWebAnalyzer()]

#!/bin/bash

# Start tshark to capture traffic from the Android device
tshark -i wlan0 -w whatsapp_traffic.pcapng

# Decrypt the captured traffic
tshark -r whatsapp_traffic.pcapng -Y 'ip.addr == <ANDROID_DEVICE_IP>' -T json > whatsapp_traffic.json

# Filter for WhatsApp Web traffic
cat whatsapp_traffic.json | jq '.[] | select(.layers.http2)' > whatsapp_filtered.json

# Print the filtered traffic
cat whatsapp_filtered.json

Khám phá các kỹ thuật nâng cao để phân tích lưu lượng truy cập web WhatsApp

Một khía cạnh quan trọng của việc phân tích lưu lượng truy cập Web WhatsApp là hiểu các giao thức mã hóa được sử dụng. WhatsApp sử dụng mã hóa đầu cuối, nghĩa là tin nhắn được mã hóa trên thiết bị của người gửi và chỉ được giải mã trên thiết bị của người nhận. Điều này làm cho việc chặn và giải mã lưu lượng truy cập trở thành một nhiệm vụ đầy thách thức. Tuy nhiên, hiểu rõ cơ chế trao đổi khóa cũng như vai trò của khóa công khai và khóa riêng tư có thể cung cấp cái nhìn sâu sắc về các lỗ hổng tiềm ẩn và phương pháp ngăn chặn hợp pháp. Ngoài ra, việc phân tích quá trình bắt tay ban đầu giữa thiết bị và máy chủ có thể tiết lộ thông tin có giá trị về quy trình mã hóa và bất kỳ siêu dữ liệu nào có thể được trao đổi.

Một cách tiếp cận khác là sử dụng phần cứng hoặc phần mềm chuyên dụng có thể thực hiện kiểm tra gói sâu (DPI). Các công cụ DPI có thể phân tích nội dung của các gói dữ liệu khi chúng đi qua mạng, điều này rất hữu ích để xác định các ứng dụng hoặc giao thức cụ thể ngay cả khi lưu lượng được mã hóa. Ví dụ: sử dụng các công cụ như Wireshark kết hợp với các plugin được thiết kế cho lưu lượng WhatsApp có thể giúp phân tích các kiểu liên lạc và xác định các loại tin nhắn được trao đổi. Hơn nữa, việc hiểu giao thức WebSocket cơ bản được WhatsApp Web sử dụng có thể cung cấp thêm thông tin chi tiết vì giao thức này đóng một vai trò quan trọng trong giao tiếp thời gian thực giữa trình duyệt và máy chủ WhatsApp.