使用 libpcap 进行 TLS 解密

Question

我想从记录的 pcap 文件中检查网络数据。 具体来说，websockets 流量。

如果重要，我将使用 python websockets 库作为客户端。 无论如何，我正在记录所有会话并为我的 python 应用程序设置环境变量 SSLKEYLOGFILE。

我可以使用 (Pre)-Master-Secret 日志文件名在 Wireshark 中查看解密数据。

我知道如何使用 libpcap，但从来不用解密 TLS/SSL 流量。 基本上，我想做的是逐包解密数据包并处理其数据（连同原始 pcap 标头，因为我关心数据包到达时间）。 我在网上找不到任何东西，反向工程wireshark代码似乎很麻烦。

数据包解密后，我想我会编写自己的 websockets 解析器。

我应该如何处理它？ python/C/C++有没有解决这个问题的办法？

是否有任何简单的库可以做到这一点？

Answer 1

如果您想使用 PCAP + SSLKEYLOGFILE 解密 TLS 流量，最好使用 Wireshark 的代码。

另一种选择是使用 TLS 代理，如 SSLsplit 或 PolarProxy 来创建带有解密的 websocket 流量（剥离 TLS）的 PCAP 文件。这允许您使用 libpcap 读取解密的数据包，而无需使用 Wireshark 的源代码。