Wireshark教程：解密HTTPS流量

目录

摘要

加密流量背后的故事

HTTPS Web流量

加密密钥日志文件

具有密钥日志文件的Pcap示例

没有密钥日志文件的HTTPS流量

加载密钥日志文件

加载密钥日志文件后的HTTPS流量

 C2流量

---

摘要

在检查可疑的网络活动时，我们经常会遇到加密的流量。这是为什么那？因为大多数网站使用超文本传输协议安全（HTTPS）协议。但与大多数网站一样，各种类型的恶意软件也使用HTTPS。当查看恶意软件活动的pcap时，了解感染后流量中包含的信息对我们非常有用。

本次Wireshark教程介绍了如何解密来自 PCAP中 的 HTTPS 流量。使用包含最初记录 pcap 时捕获的加密密钥数据，它是基于文本的日志文件。有了这个密钥日志文件，我们可以解密 pcap 中的 HTTPS 活动并查看其内容。

今天，我们将检查来自Dridex恶意软件感染的HTTPS活动。

注意：我们的此次教程确认您已经按照前面教程中提到的“Wireshark–更改列显示”中的描述定制了Wireshark-列显示。

警告：本教程使用的pcap包含基于Windows的恶意软件。如果使用Windows计算机，则有感染的风险。建议您尽可能在离线环境中操作，如虚拟机。或者在非Windows环境中操作，如kali。

加密流量背后的故事

在20世纪90年代中后期，网站使用的最常见协议是超文本传输协议（HTTP），它生成未加密的网络流量。然而，随着安全问题变得越来越令人担忧，网站开始转向HTTPS，现在我们很少从网页浏览中看到HTTP流量。

HTTPS本质上是一个包含HTTP流量的加密通信隧道。这些隧道首先使用安全套接字层（SSL）作为加密协议。如今，大多数HTTPS流量使用传输层安全性（TLS）。

HTTPS Web流量

HTTPS流量通常会显示域名。例如，查看https://www.wireshark.org在web浏览器中显示，pcap会显示www.wireshark.org。在自定义的Wireshark列显示中查看时，作为此流量的服务器名称。不幸的是，我们不知道其他细节，比如实际的URL或从服务器返回的数据。遵循来自pcap的传输控制协议（TCP）流不会显示此流量的内容，因为它是加密的。