抓包工具wireshark的使用

作者|刘宝成

前言

在我们日常的测试工作中,无论是做客户端还是服务端测试,都会经常用到抓包工具,以验证客户端和服务器之间发送的数据包是否正确等。Fiddler由于其入门简单,功能强大,已经成为了目前最主流的Web调试工具。

但Fiddler采用的是web代理的方式捕获数据包,并且只支持Windows平台,导致其使用场景受到一定的限制。而Wireshark是一款开源和跨平台的抓包工具。它通过调用操作系统底层的API,直接捕获网卡上的数据包,因此捕获的数据包更加详细,功能更加强大,但操作也相对繁琐一些。可以作为对Fiddler的一个较好的补充。

Wireshak的安装和基本使用

安装:直接通过官方下载对应的安装包即可https://www.wireshark.org/download.html

使用

左上角为几个最常用的按钮:开始捕获、停止捕获、重新捕获、捕获选项

中间为捕获过滤器,用于过滤需要捕获的数据包

捕获过滤器下面可以选择需要捕获的网络连接

下图是用Wireshark捕获的数据包。可以看到,数据包结构是与OSI的七层模型相对应的,会详细显示每层的信息。

过滤器

由于Wireshark直接捕获底层网络数据包,导致其捕获的数据包数量通常较大。为了便于筛选数据包,Wireshark提供了两种过滤器。

1、捕获过滤器:用于设置什么样的数据包保存在捕获结果中,避免产生过大的日志文件。需要在开始捕获之前设置,相对简单

捕获过滤器语法如上,一般用于过滤协议、IP、端口等基本信息。例如:

显示目的TCP端口为8080的包

tcp dst port 8080

显示来源IP地址为192.168.171.201的封包

ip src host 192.168.171.201

2、显示过滤器:用于在捕获日志中查找数据包,可以在捕获过程中或者捕获后随时更改。功能更加强大和复杂

显示过滤器语法如上,比捕获过滤器更为强大,可以针对不同协议,过滤不同的字段。例如:

利用Wireshark分析HTTPS协议

1、什么是HTTPS

SSL/TLS:SSL (Secure Sockets Layer),最初由Netscape公司设计,后来逐渐演变为TLS(Transport Layer Security Protocol),即“传输层安全协议”。该协议工作在TCP层之上,应用层之下。在TCP连接完成后,进行通信双方的身份认证,并协商一些跟加密相关的工作。完成协商之后,就可以对双方发送的信息进行加密/解密了。

HTTPS:可以理解为HTTP over SSL/TLS。即在SSL/TLS协议之上运行HTTP协议,以保证通信的安全性。

2、SSL/TLS握手过程

SSL/TLS的握手过程主要需要解决两个问题:

证明通信双方身份的真实性;

协商后续通信过程中使用的密钥;

下图左侧是一个简单的握手流程,右侧为对应的抓包结果,我们可以对比分析一下SSL/TLS的握手过程。

(1)C:ClientHello

客户端发送协议版本号、sessionid、随机数、加密算法列表、扩展字段等信息;

(2)S:ServerHello

与客户端类似,不同之处在于确定了所使用的加密算法等。

(3)S:Certificate

服务端向客户端发送自己的CA证书。客户端通过证书信任链查看该证书的真实性,以验证服务端的身份。

其实SSL/TLS协议还支持客户端的CA证书验证,不过在实际中使用较少。

(4)S:ServerKey Exchange

服务端根据之前选择的加密算法,传输密钥协商需要的参数。从之前的报文可以看到,这里选择的是EC-DH算法。

(5)S:ServerHello Done

该报文表示服务端发送完成。

(6)C:ClientKey Exchange

同理,客户端也要根据之前选择的加密算法,传输相应的参数。

(7)C:ChangeCipher Spec

经过上述步骤,客户端和服务器双方已经完成了身份认证,并且交换了生成密钥的全部参数。双方会根据对应的算法,各自生成加密密钥,然后就可以进行加密通信了。这个报文表示切换到密文模式,后续消息都通过加密传输。

(8)C:Finished

客户端表示握手完成。这里会发送一段Verify Data,是使用新生成的密钥加密后的一段信息。双方通过该信息验证加密算法、密钥是否有效。

(9)S:Change Cipher Spec

(10)S:Finished

服务段也会发送对应的两条消息作为回应,不再赘述。

3、解密HTTPS报文

握手完成之后,就可以查看客户端发出的HTTP请求了。但我们看到的只是一段加密后的字符串?那么如何对HTTPS报文进行解密呢?

要想解密HTTPS报文,就必须要获取到加密密钥。Chrome、Firefox等浏览器支持将访问网站时使用的密钥输出到文件中。仅需要配置环境变量SSLKEYLOGFILE 即可。如下:

然后需要将该密钥文件导入到Wireshark中。打开编辑-首选项,选择Protocol-SSL,填写刚才设置的文件路径。

现在,就可以通过Wireshark查看HTTPS请求中的具体信息了!

  • 发表于:
  • 原文链接https://kuaibao.qq.com/s/20181010G0IRYU00?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。
  • 如有侵权,请联系 yunjia_community@tencent.com 删除。

扫码关注云+社区

领取腾讯云代金券