捕获 ssl，对其进行解码并保存原始输出

Question

我在 Linux 上运行，我需要捕获 HTTPS 流量（而不是中间人），并对流量进行解码，然后将解码后的流量保存到原始 pcap 文件中。 将输出传送到另一个进程也可以。 获得人类可读的输出（不是原始的）是不行的。

我可以访问服务器上的 ssl 密钥。

我试过的路线：

1. tshark。效果很好，但不支持 DH（可能还有其他常见的 ssl 加密密钥）。见this 和this
2. ssldump。效果很好，但不能输出原始 pcap 文件，只能输出人类可读的输出。编辑：ssldump 也无法解密 ssl（在这种情况下）。

如果您能帮我解决 #1 或 #2 中的问题，那就太好了。也欢迎新的想法。谢谢！

Answer 1

我可以访问服务器上的 ssl 密钥...效果很好，但不支持 DH

服务器的 SSL 密钥对 DH/ECDH 没有帮助，因为连接的加密密钥不是从服务器的密钥派生的。您需要有权访问用于加密的实际密钥。关于如何使用某些浏览器访问这些密钥，有几种描述，例如参见https://jimshaver.net/2015/02/11/decrypting-tls-browser-traffic-with-wireshark-the-easy-way/。

如果您无权访问 SSL 连接的加密密钥，那么您唯一的方法就是限制密码以便不使用 DH/ECDH。不建议将其用于生产。