使用 Wireshark 分析 iOS 和 Android 的所有 TCP&UDP 协议(和 TLS 解密)

[thisismr2]

借助 Wireshark, 包括但不限于 HTTP 协议, 基本上所有主流协议都能分析, 包括 UDP 协议. 所以对于网络协议抓包分析的工作者应该是很有帮助的

视频

https://www.youtube.com/watch?v=IhxrSyqky94

App

Wireshark Helper https://www.txthinking.com

iOS https://apps.apple.com/us/app/wireshark-client/id1534485108

Android https://play.google.com/store/apps/details?id=com.txthinking.wireshark

兑换码

兑换码发放: 每 10 楼, 按 1-10 的随机数抽一次奖, 比如 1-10 楼抽一次, 11-20 抽一次, 21-30 抽一次... 抽的结果会在帖子内截图. 用 google 随机数生成器抽. 被抽到的可以选择需要 iOS 或 Android 端其中的一个兑换码

google 随机数生成器长这个样子

https://i.imgur.com/WLrgWLr.png https://i.loli.net/2020/11/17/OwyukCsVGrUx8Jq.png

iOS 需要非大陆区账号, 苹果不让在大陆 appstore 上架, 和审核人员交流了近两个月最后仍不允许在大陆 appstore 上架

如果你初次使用. 建议看下视频里的操作顺序可能会有帮助

输入框暂时只支持系统自带的英文输入法哈
和写的其他小工具一样, 可能对你有用: https://github.com/txthinking
以后会统一优化所有写过的图形客户端程序

建议使用之前对这些概念都门清: TCP, UDP, 传输层, TUN, TLS. ROOT CA. MITM, 以及对要抓的更上层协议更是要门清

Slack: https://docs.google.com/forms/d/e/1FAIpQLSdzMwPtDue3QoezXSKfhW88BXp57wkbDXnLaqokJqLeSWP9vQ/viewform

网络是个很琐碎的议题, 如果你在看完视频后, 仍会在某些环节遇到一些小问题的话, 且如果你是购买用户, 则可以申请加入 slack: https://docs.google.com/forms/d/e/1FAIpQLSdzMwPtDue3QoezXSKfhW88BXp57wkbDXnLaqokJqLeSWP9vQ/viewform

我很乐意去回答你的关于网络的一些问题, 为了群组的质量, 使用了 slack 和申请机制

对于没有中奖的同学, 另一个新的 app 也开始发兑换码了:

https://v2ex.com/t/728980

重要!!!
关于[如何信任根证书], 因为包含设备信息故视频里隐藏了几帧图像, 无论是 iOS 还是 Android 信任根证书都需要: 好几步好几步好几步. 如果建议专门搜索下!

重要

• 如果你是iOS, 确保你的电脑网络能访问 google dns-over-tls DNS 8.8.8.8 TCP 853端口 dns.google
  • 下一版本会改成使用8.8.8.8的 UDP 53
• 如果你是Android, 确保你的电脑网络能访问 8.8.8.8 的 UDP 53 端口

发现一瞬间请求过多的话会瞬间签发很多证书会有点卡, 正在想办法

[Blanke]

ssl pinning 的也行？

[daohannce]

蹲一个抽奖！

[0o0O0o0O0o]

brook 作者吗

[SeanChense]

@Blanke 本质上还是中间人，所以不能

[thisismr2]

原理是中间人攻击. 对于证书固定的可以搭配 xposed

[ahhui]

来试试运气

[ylls]

来试试运气

[thisismr2]

根据 TLS 的原理, TLS 解密的难度可以分为很多种: 1 可以; 2 可以但很复杂; 3 可以但非常复杂; 4 不可以(除非能破解源码)
写这个的时候, 我曾试图解决更多, 但发现要想解决更多, 基本上都需要到 hack 操作系统机制的地步了, 当然大部分情况都是 1 的情况. 所以有 2,3 特殊情况时, 可以搭配 xposed 的模块已经算成熟了

[coderabbit]

分子

[3dwelcome]

如果客户端代码里对服务器的 SSL 证书做强校验，这就没办法了吧。
本质上还是个代理，自动颁发证书，又不可能破解源代码。

[VAZ]

分子

[Choyes]

坐等开奖

[viniedodo]

来试试运气

[cydysm]

当分子

[bowser1701]

分子

[terencehan]

分子

[thisismr2]

1-10 楼. 随机得出 2

https://i.loli.net/2020/11/17/xZ4Ibhfe8rSkVNG.png

@daohannce 请在这里 base64 一下你的邮箱, 然后告知需要 ios 还是 android 端的兑换码. Thank you.

[illl]

分子

[Meltdown]

QUIC 能分析吗

[thisismr2]

@3dwelcome 如果是 android 可以用 xposed 钩子, 基本能达到修改 TLS 相关代码的效果

[thinkIn]

蹲一个

[zhoudaiyu]

分子

[charslee013]

康康

[refine]

拉低中奖率

[thisismr2]

@Meltdown QUIC 好像是 UDP 之上的 TLS, 这个我还不确定.有机会我会试试

[enjolife]

试试运气

[thisismr2]

11-20 楼随机出 15:

https://i.loli.net/2020/11/17/3j5E9ohPvJWHp4q.png

@bowser1701 请在这里 base64 一下你的邮箱, 然后告知需要 ios 还是 android 端的兑换码. Thank you.

[songjiaxin2008]

分母

[gimp]

哈哈，当个分母

[VHacker1989]

能 hook 掉证书校验吗

[NicholasXuan]

请教下 quic 支持么

[1password]

蹲一个

[sapphires]

蹲一个～

[thisismr2]

21-30. 随机出 26:


https://i.loli.net/2020/11/17/GCTVoa17tDM5u6k.png

@enjolife 请在这里 base64 一下你的邮箱, 然后告知需要 ios 还是 android 端的兑换码. Thank you.

[ipadpro4k]

ios 都有了？ 666

[magic3584]

官方的吗？

[Choyes]

再蹲一个试试

[thisismr2]

有没有测试当前手机浏览器是否支持 http3/quic 的网站, 想抓下试试

[jinksw]

分母

[echo314]

支持一下。

[thisismr2]

@VHacker1989 可以搭配 xposed, 你搜下有个 JustTrustMe

[crystom]

我要中奖

[baozijun]

蹲一个

[Mitt]

谢谢参与

[peige]

分母

[aerzha]

分母+1

[alpenstock]

争取做分子

[airycanon]

iOS 抓包一直用 Charles，之前想换 Wireshark，但解决不了 TLS 解密的问题，你这个工具又让我燃起了希望。

请问一下原理是这样么？
1. 在 Desktop 启动一个代理，提供根证书给 Mobile 安装。
2. 由 Mobile 安装根证书，并设置使用该代理访问网络。
3. 第 1 步的代理同时生成 key log file 给 Wireshark 解密流量包。

[MikeV2EX]

这个是刚需，支持一波

[thisismr2]

31-40, 随机出 37:


https://i.loli.net/2020/11/17/Fhl9AItsZLDq2px.png
@Choyes 请在这里 base64 一下你的邮箱, 然后告知需要 ios 还是 android 端的兑换码. Thank you.
**因为如果给我发邮件, 我不能确定给我发送者是几楼**

[Rekkles]

试试~

[frankyxu]

蹲一个

[guoyida]

分母来了

[MicroPan]

支持一波

[Arainc]

吨吨吨

[zspzwal]

开奖把

[thisismr2]

@airycanon 是的. 正确. 我再补充下 Mobile 那块的原理, 就是从传输层(TCP/UDP)拦截流量, 给桌面, 这样 wireshark 就能从桌面的网卡抓到所有的 Mobile 的 TCP 和 UDP 了. 最一开始还想在桌面单独弄一个网卡, 这样 wireshark 看到的就不是桌面和 Mobile 混着的流量了, 但是为了桌面 Helper 不用 root/admin 权限以及 wireshark 的过滤器超级强大, 暂时没那么做.

[silencefly]

做个分子

[JL1990]

试试运气

[thisismr2]

41-50, 随机出 42

https://i.loli.net/2020/11/17/O6o2F4pWhy1sm9g.png

@crystom 请在这里 base64 一下你的邮箱, 然后告知需要 ios 还是 android 端的兑换码. Thank you.

[thisismr2]

@ipadpro4k iOS 审核了快 2 个月了才审核通过, 和审核人员解释这种应用太难了. 太技术性质.

[llouye]

试试手气

[Choyes]

@thisismr2 MjMzM0Bhc2lhLmNvbQ==
需要 iOS 的兑换码，感谢！！！

[thisismr2]

51-60, 随机出 52


@frankyxu 请在这里 base64 一下你的邮箱, 然后告知需要 ios 还是 android 端的兑换码. Thank you.

[tuochenlyu]

分母

[glaucus]

蹲一个

[thisismr2]

@Choyes 已发

[bowser1701]

@thisismr2 来了，Ym93c2VyMTcwNEBnbWFpbC5jb20K, iOS.

[XiaoXiaoNiWa]

分母

[1130335361]

分母

[Blanke]

有机会吗。。。

[wendellup2018]

试试呢，经常抓包

[airycanon]

@thisismr2 是否可以考虑 Desktop 使用 WiFi 共享网络给 Mobile 使用，这样应该也是一个单独的网卡。

[DonaldY]

分母

[ashong]

排队领取😄

[HFX3389]

分母~

[duzhor]

万一呢拉低中奖率

[PingandA]

参与一下

[fdgdbr]

排队领取

[zzqims9527q]

参与

[sgdream]

参与

[Drshu]

参与

[qwerrewt]

请教下是干啥的？ Wireshark 好像本身就可以抓和解析

[arldeng]

蹲一个！

[Lemeng]

还能参与吗？报个名

[Joeng]

参与

[Esioner]

做个分子

[tj646]

iOS 国区不能用？

[FaiChou]

大佬, 借楼问个问题, 用 Charles/mitmproxy/Thor 这种工具抓取到应用层的请求和用 Wireshark 抓取到的传输层请求有什么不同(在数据分析上面)吗? 因为平时没用过 Wireshark, 想了解下, 除了官方的文档, 还有什么比较好的教程吗?

[liguoqinjim]

蹲一个！

[thinkIn]

做个分子

[cfcboy]

蹲一个！

[cyrbuzz]

zi.

[ik]

占楼

[Veneris]

蹲一个

[Caratpine]

试试

[jackbull]

目前在用 HttpCanary

[t2doo]

来试试运气

[q474818917]

来一个

[ColoThor]

试试