读取 HTTPS 流量中的 SSL 和 TLS 数据

Question

是否可以在不解密的情况下解析和存储 SSL 和 TLS 数据？不是加密的 http headers 而是无需解密即可使用的数据？我看到 Wireshark 能够显示此数据，但我不知道 how/what 方法可以遵循。我已成功解析 HTTP 流量，但无法对 HTTPS 执行相同的操作。我说的数据如下：

这能实现吗？我有以下代码捕获端口 443 上的流量并进一步转发它以打印数据，就像它对端口 80 上的 HTTP 流量所做的那样。

payload = (u_char *)(packet + SIZE_ETHERNET + size_ip + size_tcp);
    /* Compute tcp payload (segment) size */
    size_payload = ntohs(ip->ip_len) - (size_ip + size_tcp);

            printf("%s:", inet_ntoa(ip->ip_src));
            printf("\n");
            printf("%d ", ntohs(tcp->th_sport));
            printf("\n");
            printf("%s:", inet_ntoa(ip->ip_dst));
            printf("\n");
            printf("%d ", ntohs(tcp->th_dport));
            printf("\n");


    if (ntohs(tcp->th_sport) == 443)
    {
            printf("Payload:- ");
            print_payload(payload, size_payload);
    }
    else if (ntohs(tcp->th_dport) == 443)
    {
            printf("Payload:- ");
            print_payload(payload, size_payload);
    }

HTTP 流量打印得恰到好处，但在这种情况下，输出全是乱码。

输出：

52.114.128.9
443 
10.8.25.7
55605 
Payload:- ]4=]?).-`9)}e`B_.Zp*$'AJ}/)K.P;7%-=1dV2qN,fxU?A2{h;/TEi7("Bc`;Op<?TS8O]WhX_D]O<Zi*}aGg~`@ff)3!i[ieYm(-/JP'"+kOHNwmE 3jZBX[*y`{OR9w'!1SM

如果有人能帮助我解决这个问题，或者至少给我指出一个我可以解决的方向，我将不胜感激。提前致谢

Answer 1

TLS 建立在 TCP 之上，TCP 在传输层提供主机到主机连接 (layer 4)。这意味着您始终可以解析第 4 层和更低的信息（例如 IP 或 TCP），因为它根本不受 TLS 保护。

在第 4 层之上，您可以看到（并解析）启动加密连接的未加密 TLS 握手 (*)。之后，第 4 层以上的所有数据都被加密，你只能看到看似随机的数据。由于 HTTP 存在于第 4 层之上，因此您永远不会看到任何未加密的 HTTP 流量。

(*) TLS 1.3 加密部分握手。参见 this answer。

读取 HTTPS 流量中的 SSL 和 TLS 数据

Read SSL and TLS data in HTTPS traffic

c

ssl

https

packet-capture