Forum Coders' city Strona Główna Coders' city
Nasza pasja to programowanie!
 

 PomocPomoc   SzukajSzukaj   UżytkownicyUżytkownicy   GrupyGrupy  RejestracjaRejestracja 
Archiwum starego forum + teoria    RSS & Panel/SideBar
 ProfilProfil   Zaloguj się, by sprawdzić wiadomościZaloguj się, by sprawdzić wiadomości   ZalogujZaloguj 

Potrzebuję szybkiej odpowiedzi na moje pytanie... Zasady

Przechwytywanie ruchu HTTPS aplikacji



 
Odpowiedz do tematu    Forum Coders' city Strona Główna -> Sieci komputerowe i Internet
Zobacz poprzedni temat :: Zobacz następny temat  
Autor Wiadomość
charliel



Dołączył: 11 Gru 2017
Posty: 1

PostWysłany: Pon Gru 11, 2017 8:14 am  OP    Temat postu: Przechwytywanie ruchu HTTPS aplikacji Odpowiedz z cytatem Pisownia

Witam!
Potrzebuję zbadać requesty wysyłane przez pewną aplikację, jednak komunikacja odbywa się przez HTTPS.
Próbowałem zrobić to Fiddlerem/Charlesem, jednak niektóre programy wymagają dodania wygenerowanego certyfikatu do zaufanych.
Np. Firefox nie otworzy strony dopóki nie potwierdzimy że certyfikat jest zaufany.
Podobnie sytuacja ma się w przypadku Javy - dodanie certyfikatu do TrustStore, Pythona - dodanie dodatkowej linii kodu itp:
https://www.charlesproxy.com/[...]ing-charles/ssl-certificates/

Jednak w jaki sposób mogę analizować ruch jakiejś aplikacji która wspiera proxy (więc mogę łatwo podpiąć fiddlera czy coś podobnego), ale nie akceptuje jego certyfikatu (nie traktuje go jako zaufany?)
Powrót do góry
Zobacz profil autora Wyślij prywatną wiadomość
Garf



Dołączył: 25 Maj 2005
Posty: 3607
Skąd: Rzeszów

PostWysłany: Wto Gru 12, 2017 12:34 am      Temat postu: Odpowiedz z cytatem Pisownia

Wszystko zależy od tego, jak aplikacja została napisana. Jeśli po partacku, to najzwyklejszy atak Man-in-the-Middle będzie skuteczny. Tutaj, sądząc po opisie, zakładam że aplikacja jednak sprawdza czy certyfikat pochodzi od zaufanego dostawcy.
Jeśli aplikacja nie stosuje techniki Certificate Pinning to jest jeszcze nadzieja. Musisz zrobić sobie certyfikat CA, np. za pomocą OpenSSH, i dodać go do zaufanych w systemie (Zaufane certyfikaty główne). Następnie wystawiasz certyfikat dla "docelowej" domeny i podpisujesz go swoim CA. Takie coś przejdzie, bo zrobienie samo-podpisanego certyfikatu jest niewystarczające.

_________________
Internet nadal „nic nie rozumie”, żadnego odkrycia, choćby od niego zależał los świata,
ale nadanego w egzotycznym języku, nie odróżni od nieco mniej ważnej wieści,
że u ciotki w placku z jabłkami zrobił się w piekarniku zakalec.
Stanisław Lem
Powrót do góry
Zobacz profil autora Wyślij prywatną wiadomość
Wyświetl posty z ostatnich:   
Odpowiedz do tematu    Forum Coders' city Strona Główna -> Sieci komputerowe i Internet Wszystkie czasy w strefie CET (Europa)

Strona 1 z 1

 
Skocz do:  
Możesz pisać nowe tematy
Możesz odpowiadać w tematach
Nie możesz zmieniać swoich postów
Nie możesz usuwać swoich postów
Nie możesz głosować w ankietach
Możesz dodawać załączniki na tym forum
Możesz pobierać pliki z tego forum




Debug: strone wygenerowano w 0.11112 sekund, zapytan = 11
contact

| Darmowe programy i porady Jelcyna | Tansze zakupy w Helionie | MS Office Blog |