Wireshark 解密https 数据

原创已于 2023-05-25 16:20:25 修改 · 4.7k 阅读

16 ·

CC 4.0 BY-SA版权

本文为博主原创文章，未经博主允许可以转载。

文章标签：

#wireshark #https #测试工具

于 2023-05-25 16:07:17 首次发布

本文介绍了两种方法来解密Wireshark中捕获的HTTPS数据包。推荐使用SSLKEYLOGFILE环境变量，该方法要求浏览器检测到此变量时将密钥写入文件，然后配置Wireshark读取该文件。另一种方法是利用RSA密钥，但适用于特定的TLS协议版本和服务器加密套件。在使用Wireshark时，应确保在打开软件前未先访问目标网站。

在这里插入图片描述

默认情况下 wireshark 抓到的https 数据包都是加密后的，无法展示明文内容

在这里插入图片描述

方式一 -SSLKEYLOGFILE 变量方式【推荐，适用各种情况】

配置环境变量

浏览器在访问https 站点的时候会检测这个SSLKEYLOGFILE 变量，如果存在，则将https 密钥写入对应的文件内

配置好之后需要重启浏览器生效
在这里插入图片描述
文件内容如下

配置wireshark

配置wireshark 使用上面环境变量指定的密钥文件
在这里插入图片描述

方式二 - RSA 密钥方式【有局限性】

适用如下情形

The cipher suite selected by the server is not using (EC)DHE.
The protocol version is SSLv3, (D)TLS 1.0-1.2. It does not work with TLS 1.3.
The private key matches the server certificate. It does not work with the client certificate, nor the Certificate Authority (CA) certificate.
The session has not been resumed. The handshake must include the ClientKeyExchange handshake message.

将服务端的 RSA 密钥放入wireshark 的下面配置中
在这里插入图片描述