httphttps抓包分析利用教程

《httphttps抓包分析利用教程》由会员分享，可在线阅读，更多相关《httphttps抓包分析利用教程（36页珍藏版）》请在金锄头文库上搜索。

1、 H HT TT TP P/ /H HT TT TP PS S 抓抓包包分分析析 利利用用教教程程 （内部资料 v1.0） 大学霸 前 言 HTTP（Hypertext Transfer protocol，即超文本传输协议）是一种详细规定了浏览器和万维网服务器 之间互相通信的规则，它是 Web 网络的规范和基石。由于 HTTP 协议在传输信息时采用的是明文形式。 所以在安全性较强的 Web 网站和应用采用了 HTTPS 协议。 HTTPS（Hypertext Transfer Protocol over Secure Socket Layer）是以安全为目标的 HTTP 通道。简单 的讲就是

2、 HTTP 的安全版，即 HTTP 下加入 SSL 层。HTTPS 的安全基础是 SSL，因此加密就需要 SSL。 由于该协议比较安全，所以也被广泛应用。 由于 HTTP 和 HTTPS 协议被广泛应用，所以 HTTP/HTTPS 数据分析非常重要，尤其是对渗透测试 人员。为了满足用户的需求，本教程针对这两种协议进行详细讲解，内容涉及数据包的抓取、分析和利 用，充分满足渗透测试行业的各种需要。 1.学习所需的系统和软件学习所需的系统和软件 安装 Windows 7 操作系统 安装 Wireshark 2.学习建议学习建议 大家学习之前，可以致信到 xxxxxxxxxxxxxxx，获取相关的资料

3、和软件。如果大家在学习过程遇到 问题，也可以将问题发送到该邮箱。我们尽可能给大家解决。 目 录 第 1 章 配置 HTTP 协议抓包环境 . 1 1.1 HTTP 协议概述 . 1 1.2 有线局域网抓包 1 1.2.1 使用集线器捕获 . 2 1.2.2 使用路由器/交换机端口镜像 2 1.2.3 通过 ARP 攻击捕获目标主机上数据 5 1.3 无线局域网抓包 6 1.3.1 接入无线网捕获数据包 . 6 1.3.2 未接入无线网捕获数据包 . 7 1.3.3 使用伪 AP 抓包 10 1.4 手机抓包 11 1.4.1 从运营商网络抓包 . 11 1.4.2 WiFi 网络下抓包 12

4、第 2 章 实施 HTTP 协议抓包 . 14 2.1 抓包原则 14 2.2 使用捕获过滤器 14 2.2.1 什么是捕获过滤器 . 15 2.2.2 根据协议过滤 . 18 2.2.3 根据端口过滤 . 20 2.2.4 根据客户端 IP 过滤 22 2.2.5 根据服务器过滤 . 23 2.2.6 根据 MAC 地址过滤 27 2.2.7 同时使用多个捕获过滤器 . 29 2.3 在手机上使用捕获过滤器 29 2.3.1 根据协议过滤 . 29 2.3.2 根据端口过滤 . 30 2.3.3 根据客户端过滤 . 30 2.3.4 根据服务器过滤 . 30 2.3.5 根据 MAC 地址过

5、滤 30 2.3.6 同时使用多个捕获过滤器 . 30 第 3 章 用户行为分析 . 31 3.1 HTTP 协议基础知识 . 31 3.1.1 浏览器工作流程 . 31 3.1.2 HTTP 请求方法 32 3.2 获取浏览器请求的信息 32 3.2.1 获取用户请求的网址 . 32 3.2.2 辅助技巧 . 36 3.2.3 获取网页内容 . 40 HTTP/HTTPS 抓包分析利用教程（内部资料） 版权所有 2 3.2.4 获取图片 . 43 3.2.5 获取视频 . 46 3.3 获取用户提交的内容 53 3.3.1 GET 方法提交的内容 . 53 3.3.2 POST 方法提交的内

6、容 . 56 3.3.3 用户的登录信息 . 59 3.3.4 用户上传的文件 . 63 3.3.5 用户下载的文件 . 67 3.3.6 用户播放的音乐 . 70 3.4 获取并利用 Cookie 信息 . 72 3.4.1 安装 Greasemonkey 组件 . 72 3.4.2 创建 Cookie Injector 脚本 74 3.4.3 使用 Wireshark 包中的 Cookie 信息 . 75 第 4 章 HTTPS 协议解密 79 4.1 HTTPS 协议概述 . 79 4.1.1 什么是 HTTPS 协议 . 79 4.1.2 HTTPS 工作流程 79 4.2 解密 HT

7、TPS 协议 80 4.2.1 设置浏览器环境变量 . 80 4.2.2 添加密钥文件 . 82 4.2.3 分析解密后的包 . 84 4.3 相关内容 88 4.3.1 判断服务器的 SSL 等级 88 第 1 章 配置 HTTP 协议抓包环境 HTTP（HyperText Transfer Protocol，超文本传输协议）是一种基于 TCP 协议的应用协议。HTTP 是 Web 系统的核心，允许浏览器通过连接 Web 服务器浏览网页。所以，HTTP 协议被广泛的应用，包括手 机上各种 APP 都使用该协议。因此，用户通过捕获并分析 HTTP 协议的包，可以获取到很多有用的信 息。本章将分

8、别介绍在有线局域网、无线局域网或手机上捕获 HTTP 协议的配置环境。 1.1 HTTP 协议概述 为了帮助用户能快速的分析 HTTP 协议的包，这里将对该协议进行一个简单介绍。HTTP 协议的工 作流程如图 1.1 所示。 图 1.1 HTTP 工作流程 下面详细介绍图 1.1 中描述的 HTTP 工作流程，如下所示： （1）客户端（浏览器）通过 TCP 三次握手与服务器建立连接。 （2）TCP 建立连接成功后，向服务器发送 HTTP 请求。 （3）服务器收到客户端的 HTTP 请求后，将返回应答，并向客户端发送数据。 （4）客户端通过 TCP 四次握手，与服务器断开 TCP 连接。 通过以

9、上对 HTTP 协议工作流程的详细介绍，可以看出客户端在进行 HTTP 传输数据之前，会首先 通过 TCP 三次握手建立连接。当数据传输完成后，再次通过 TCP 四次握手与服务器断开连接。因此， 通过了解 HTTP 协议工作流程可以帮助用户在捕获的包中，快速找出 HTTP 传输的数据包。 1.2 有线局域网抓包 通常在一个公司内部，所有的用户都在同一个局域网中。所以，学习有线局域网抓包也是非常有必 要的。在有线局域网中，用户可以通过集线器、端口镜像或 ARP 攻击的方法来捕获数据包。本节将介 绍使用不同方法，捕获数据包的环境配置。 HTTP/HTTPS 抓包分析利用教程（内部资料） 版权所有

10、2 1.2.1 使用集线器捕获 集线器的英文称为 Hub，是“中心”的意思。集线器的主要功能是对接收到的信号进行再生整形放 大，以扩大网络的传输距离，同时把所有节点集中在以它为中心的节点上。由于集线器在发送数据时， 是没有针对性的，而是采用广播方式发送。也就是说当它要向某节点发送数据时，不是直接把数据发送 到目的节点，而是把数据包发送到与集线器相连的所有节点。因此，用户可以在局域网的某一主机上开 启抓包工具，即可捕获到其它主机上传输的所有数据，如图 1.2 所示。 PC1 PC2 PC3 图 1.2 使用集线器捕获包的环境配置 以上就是使用集线器，在有线局域网中捕获数据包的配置环境。上图表示整

11、个局域网中，有三台主 机同时连接在一个集线器上。此时，用户可以在任意一台上运行抓包工具（如 Wireshark），即可捕获 到其它两台主机上的数据包。 1.2.2 使用路由器/交换机端口镜像 端口镜像（port Mirroring）功能通过在交换机或路由器上，将一个或多个源端口的数据流量转发到 某一个指定端口来实现对网络的监听，指定端口称之为“镜像端口”或“目的端口”。下面将分别介绍 路由器和交换机端口镜像功能，捕获数据包的配置环境。 1.路由器镜像端口路由器镜像端口 在一些大型的企业级路由器中（如磊科 NR236W、飞鱼星 VE-900），都自带了“端口镜像”功能。 如果想要使用“镜像端口”

12、，则需要开启该功能，并设置镜像端口。下面以飞鱼星 VE-900 为例，介绍 设置镜像端口的方法。具体操作步骤如下所示： （1）将路由器接入到计算机中，然后登录路由器进行设置。一般情况下，路由器默认的 IP 地址是 192.168.0.1 或 192.168.1.1，默认的登录名和密码是 admin。本例中路由器的 IP 地址是 192.168.8.1，所以 在浏览器中输入 192.168.8.1，将会弹出用户名和密码登录框，如图 1.3 所示。 HTTP/HTTPS 抓包分析利用教程（内部资料） 版权所有 3 图 1.3 用户名和密码登录框 （2）在该对话框中输入用户名和密码，然后单击“确定”

13、按钮，将显示如图 1.4 所示的界面。 图 1.4 路由器的主界面 （3）该界面表示现在已成功登录到路由器。在该界面分为两部分，左侧栏中是路由器的选项列表， 右侧栏是对应选项的描述。在该路由器中，端口镜像功能属于高级选项列表。所以，在该界面依次选择 “高级选项”|“端口镜像”选项，将显示如图 1.5 所示的界面。 HTTP/HTTPS 抓包分析利用教程（内部资料） 版权所有 4 图 1.5 端口镜像功能 提示：在某些路由器中，图 1.4 中的监听端口和被监听端口选项，称为捕获端口和被捕获端口。 （4）以上就是端口镜像功能的设置界面。默认，该路由器中的端口镜像功能是没有开启的。所以， 首先勾选“

14、允许端口镜像功能”复选框，启用端口镜像功能。接下来，设置监听端口和被监听端口。监 听端口就是用来抓包的端口，即捕获端口；被监听端口也就是被抓包的端口，即被捕获端口。例如，这 里选择捕获端口 LAN1 的数据包，然后通过镜像功能把端口 LAN1 的数据镜像到端口 LAN2，那么端口 LAN1 就是被监听端口（被捕获端口），端口 LAN2 就是监听端口（捕获端口）。最后，单击保存按钮。 通过以上步骤，镜像端口就设置好了。接下来，用户就可以在端口 LAN2 上捕获端口 LAN1 上的数 据包了。具体配置捕获包的环境，如图 1.6 所示。 2.交换机端口镜像交换机端口镜像 交换机和路由器的镜像端口工作

15、原理是相同的。支持端口镜像的交换机有 s2008、s2016、s2026、 s2403H、s3026 等。但是，各种交换机的配置都不同，而且在购买交换机时都附带有使用说明书。所以， 这里就不介绍关于交换机端口镜像的配置了。使用交换机端口镜像功能捕获数据包的的环境配置，如图 1.7 所示。 HTTP/HTTPS 抓包分析利用教程（内部资料） 版权所有 5 Internet PC1PC2 E0/1E0/2 E0/3 图 1.6 使用路由器的端口镜像功能捕获数据包 图 1.7 使用交换机端口镜像功能捕获包 上图表示在 PC1 上捕获 PC2 主机的数据包。 1.2.3 通过 ARP 攻击捕获目标主机

16、上数据 当用户不具备以上网络环境条件的话，可以通过实施 ARP 攻击，来捕获目标主机上的数据。ARP 攻击就是通过伪造 IP 地址和 MAC 地址实现 ARP 欺骗， 能够在网络中产生大量的 ARP 通信量使网络阻 塞，攻击者只要持续不断的发出伪造的 ARP 响应包就能更改目标主机 ARP 缓存中的 IP-MAC 条目，造 成网络中断或中间人攻击。 通过对目标主机实施 ARP 攻击，来捕获目标主机上的数据包，配置环境如图 1.8 所示。 HTTP/HTTPS 抓包分析利用教程（内部资料） 版权所有 6 图 1.8 通过实施 ARP 攻击捕获目标主机上的数据 提示：ARP 攻击不是本书的重点，所以这里不进行详细赘述。如果用户想要了解 ARP 攻击的话， 可以参考ARP 协议全面实战手册教程。 在上图中，攻击主机首先对目标主机实施 ARP 攻击。当成功将