Cách đọc lưu lượng HTTPS trong Wireshark

Wireshark là một công cụ phân tích gói nguồn mở phổ biến cung cấp nhiều tính năng thuận tiện để phân tích mạng, khắc phục sự cố, giáo dục, v.v. Những người muốn sử dụng Wireshark lần đầu tiên và những người đã có kinh nghiệm sử dụng nó thường băn khoăn về việc đọc lưu lượng HTTPS.

Nếu bạn là một trong số họ, bạn đã đến đúng nơi. Ở đây, chúng tôi sẽ giải thích HTTPS là gì và nó hoạt động như thế nào. Sau đó, chúng ta sẽ thảo luận về việc liệu bạn có thể đọc lưu lượng truy cập HTTPS hay không, tại sao đó có thể là vấn đề và bạn có thể làm gì với vấn đề đó.

HTTPS là gì?

Bảo mật giao thức truyền siêu văn bản (HTTPS) đại diện cho một phiên bản bảo mật của HTTP đảm bảo truyền dữ liệu an toàn và giao tiếp giữa trình duyệt web và trang web.

HTTPS đảm bảo tính bảo mật và ngăn chặn hoạt động nghe lén, đánh cắp danh tính, tấn công trung gian và các mối đe dọa bảo mật khác. Ngày nay, bất kỳ trang web nào yêu cầu bạn nhập thông tin hoặc tạo tài khoản đều có HTTPS để bảo vệ bạn.

HTTPS bảo vệ khỏi các mối đe dọa bảo mật và các cuộc tấn công độc hại bằng cách mã hóa tất cả các trao đổi giữa trình duyệt web và máy chủ.

Điều quan trọng là phải làm rõ rằng HTTPS không tách biệt với HTTP. Thay vào đó, đó là một biến thể HTTP sử dụng mã hóa cụ thể như Lớp cổng bảo mật (SSL) và Bảo mật lớp vận chuyển (TLS) để bảo mật liên lạc. Khi trình duyệt web và máy chủ web giao tiếp qua HTTPS, chúng sẽ tham gia vào quá trình bắt tay SSL/TLS, tức là trao đổi chứng chỉ bảo mật.

Làm cách nào bạn có thể biết liệu giao tiếp của bạn với một trang web có được bảo mật bằng HTTPS hay không? Đơn giản chỉ cần nhìn vào thanh địa chỉ. Nếu bạn thấy “https” ở đầu URL thì kết nối của bạn an toàn.

Wireshark Cách đọc lưu lượng HTTPS

Một trong những tính năng chính của HTTPS là nó được mã hóa. Mặc dù đây là một lợi thế khi bạn mua sắm trực tuyến hoặc để lại thông tin cá nhân trên một trang web, nhưng nó có thể là một nhược điểm khi bạn đang theo dõi để giám sát lưu lượng truy cập web và phân tích mạng của mình.

Vì HTTPS được mã hóa nên không có cách nào để đọc nó trong Wireshark. Nhưng bạn có thể hiển thị các gói SSL và TLS và giải mã chúng thành HTTPS.

Làm theo các bước sau để đọc các gói SSL và TLS trong Wireshark:

1. Mở Wireshark và chọn những gì bạn muốn chụp trong menu “Chụp”.
   
2. Trong ngăn “Danh sách gói”, tập trung vào cột “Giao thức” và tìm “SSL”.
   
3. Tìm gói SSL hoặc TLS mà bạn quan tâm và mở nó.
   

Cách giải mã SSL trong Wireshark

Cách được khuyến nghị để giải mã SSL là sử dụng khóa bí mật tiền chính. Bạn sẽ cần phải hoàn thành bốn bước sau:

• Đặt một biến môi trường.
• Khởi chạy trình duyệt của bạn.
• Định cấu hình cài đặt của bạn trong Wireshark.
• Chụp và giải mã các khóa phiên.

Hãy đi qua từng bước chi tiết hơn.

Đặt biến môi trường

Biến môi trường là một giá trị xác định cách máy tính của bạn xử lý các quy trình khác nhau. Nếu muốn giải mã SSL và TLS, trước tiên bạn cần đặt đúng biến môi trường. Cách bạn thực hiện việc này tùy thuộc vào hệ điều hành của bạn.

Đặt biến môi trường trong Windows

Người dùng Windows nên làm theo các bước sau để đặt biến môi trường:

1. Khởi chạy menu Bắt đầu.
   
2. Mở “Bảng điều khiển”.
   
3. Chuyển đến “Hệ thống và Bảo mật”.
   
4. Chọn “Hệ thống”.
   
5. Cuộn xuống và chọn “Cài đặt hệ thống nâng cao”.
   
6. Kiểm tra kỹ xem bạn có đang ở trong phần “Nâng cao” hay không và nhấn “Biến môi trường”.
   
7. Nhấn “Mới” trong “Biến người dùng”.
   
8. Nhập “SSLKEYLOGFILE” bên dưới “Tên biến”.
   
9. Trong “Giá trị biến”, hãy nhập hoặc duyệt qua đường dẫn đến tệp nhật ký.
   
10. Nhấn OK.”
    

Đặt biến môi trường trong Mac hoặc Linux

Nếu là người dùng Linux hoặc Mac, bạn sẽ cần sử dụng nano để đặt biến môi trường.

Người dùng Linux nên mở một thiết bị đầu cuối và nhập lệnh này: “nano ~/ .bashrc”. Người dùng Mac nên mở Launchpad, nhấn “Other” và khởi chạy một thiết bị đầu cuối. Sau đó, họ nên nhập lệnh này: “nano ~/ .bash_profile”.

Sau đó, cả người dùng Linux và Mac nên làm theo các bước sau để tiếp tục:

1. Thêm tệp này vào cuối tệp: “export SSLKEYLOGFILE=~/.ssl-key.log”.
2. Lưu các thay đổi của bạn.
3. Đóng cửa sổ đầu cuối và khởi chạy một cửa sổ khác. Nhập dòng này: “echo $SSKEYLOGFILE”.
4. Bây giờ, bạn sẽ thấy đường dẫn đầy đủ đến nhật ký khóa tiền chính SSL của mình. Sao chép đường dẫn này để lưu lại sau này vì bạn sẽ cần nhập nó vào Wireshark.

Khởi chạy trình duyệt của bạn

Bước thứ hai là khởi chạy trình duyệt của bạn để đảm bảo tệp nhật ký đang được sử dụng. Bạn cần mở trình duyệt của mình và truy cập trang web hỗ trợ SSL.

Sau khi bạn đã truy cập một trang web như vậy, hãy kiểm tra tệp của bạn để tìm dữ liệu. Trong Windows, bạn nên sử dụng Notepad, trong khi trên Mac và Linux, bạn nên sử dụng lệnh này: “cat ~/ .ssl-log.key”.

Định cấu hình Wireshark

Sau khi bạn đã thiết lập trình duyệt của mình ghi nhật ký các khóa tiền chính ở vị trí mong muốn, đã đến lúc định cấu hình Wireshark. Sau khi định cấu hình, Wireshark sẽ có thể sử dụng các khóa để giải mã SSL.

Thực hiện theo các bước dưới đây để làm điều đó:

1. Khởi chạy Wireshark và chuyển đến “Chỉnh sửa”.
   
2. Nhấp vào “Tùy chọn”.
   
3. Mở rộng “Giao thức”.
   
4. Cuộn xuống và chọn “SSL”.
5. Tìm “(Pre)-Master Secret log filename” và nhập đường dẫn bạn đã thiết lập ở bước đầu tiên.
6. Nhấn OK.”

Chụp và giải mã khóa phiên

Bây giờ bạn đã định cấu hình mọi thứ, đã đến lúc kiểm tra xem Wireshark có giải mã SSL hay không. Đây là những gì bạn cần làm:

1. Khởi chạy Wireshark và bắt đầu phiên chụp chưa được lọc.
   
2. Thu nhỏ cửa sổ Wireshark và mở trình duyệt của bạn.
   
3. Truy cập bất kỳ trang web an toàn nào để lấy dữ liệu.
   
4. Quay lại Wireshark và chọn bất kỳ khung nào có dữ liệu được mã hóa.
   
5. Tìm “Chế độ xem byte gói” và xem dữ liệu “SSL đã giải mã”. HTML bây giờ sẽ hiển thị.

Wireshark cung cấp những tính năng tiện lợi nào?

Một trong những lý do Wireshark là công cụ phân tích gói mạng hàng đầu là vì nó cung cấp nhiều tùy chọn tiện lợi giúp cải thiện trải nghiệm người dùng của bạn. Dưới đây là một số trong số họ:

Mã màu

Đi qua một lượng lớn thông tin có thể tốn thời gian và mệt mỏi. Wireshark cố gắng giúp bạn phân biệt các loại gói khác nhau bằng một hệ thống mã màu duy nhất. Tại đây, bạn có thể thấy các màu mặc định cho các loại gói tin chính:

• Xanh nhạt – UDP
• Tím nhạt – TCP
• Xanh nhạt – Lưu lượng HTTP
• Màu vàng nhạt – Lưu lượng dành riêng cho Windows (bao gồm Khối tin nhắn máy chủ (SMB) và NetBIOS
• Vàng đậm – Định tuyến
• Xám đậm – lưu lượng TCP SYN, ACK và FIN
• Đen – Các gói có lỗi

Bạn có thể xem toàn bộ lược đồ tô màu bằng cách vào “Xem” và chọn “Quy tắc tô màu”.

Wireshark cho phép bạn tùy chỉnh các quy tắc tô màu của riêng mình theo sở thích của bạn trong cùng một cài đặt. Nếu bạn không muốn tô màu, hãy chuyển nút chuyển đổi bên cạnh “Danh sách gói tô màu”.

Số liệu và thống kê

Wireshark cung cấp các tùy chọn khác nhau để tìm hiểu thêm về quá trình chụp của bạn. Các tùy chọn này nằm trong menu “Thống kê” ở đầu cửa sổ.

Tùy thuộc vào những gì bạn quan tâm, bạn có thể xem lại số liệu thống kê về thuộc tính tệp chụp, địa chỉ đã giải quyết, độ dài gói, điểm cuối, v.v.

Dòng lệnh

Nếu bạn có một hệ thống không có giao diện người dùng đồ họa (GUI), bạn sẽ rất vui khi biết Wireshark có một tính năng.

Chế độ lăng nhăng

Theo mặc định, Wireshark cho phép bạn chụp các gói đi và đến từ máy tính bạn đang sử dụng. Tuy nhiên, nếu bạn bật chế độ hỗn tạp, bạn có thể nắm bắt hầu hết lưu lượng truy cập trên toàn bộ mạng cục bộ (LAN).

Câu hỏi thường gặp

Tôi có thể lọc dữ liệu gói trong Wireshark không?

Có, Wireshark cung cấp các tùy chọn lọc nâng cao cho phép bạn hiển thị thông tin liên quan trong vài giây.

Nền tảng này có hai loại bộ lọc: chụp và hiển thị. Bộ lọc chụp được sử dụng trong khi chụp dữ liệu. Bạn có thể đặt chúng trước khi bắt đầu chụp gói và không thể sửa đổi chúng trong quá trình này. Các bộ lọc này đại diện cho một cách dễ dàng để nhanh chóng tìm kiếm dữ liệu mà bạn quan tâm. Nếu Wireshark thu thập dữ liệu không khớp với các bộ lọc đã đặt của bạn, nó sẽ không hiển thị chúng.

Bộ lọc hiển thị được áp dụng sau quá trình chụp. Không giống như bộ lọc chụp loại bỏ dữ liệu không khớp với tiêu chí đã đặt, bộ lọc hiển thị chỉ ẩn dữ liệu này khỏi danh sách. Điều này giúp bạn có cái nhìn rõ ràng hơn về ảnh chụp và cho phép bạn dễ dàng tìm thấy những gì bạn đang tìm kiếm.

Nếu bạn sử dụng nhiều bộ lọc trong Wireshark và gặp khó khăn trong việc ghi nhớ chúng, bạn sẽ rất vui khi biết rằng Wireshark cho phép bạn lưu các bộ lọc của mình. Bằng cách đó, bạn không phải lo lắng về việc quên cú pháp chính xác hoặc áp dụng bộ lọc sai. Bạn có thể lưu bộ lọc của mình bằng cách nhấn vào biểu tượng dấu trang bên cạnh trường Bộ lọc.

Phân tích mạng chính với Wireshark

Nhờ các tùy chọn phân tích gói ấn tượng, Wireshark cho phép bạn có cái nhìn sâu hơn về lưu lượng truy cập đến và đi từ mạng của mình. Mặc dù cung cấp các tính năng nâng cao, Wireshark có giao diện đơn giản, trực quan, vì vậy ngay cả những người mới trong thế giới phân tích gói cũng sẽ nhanh chóng tìm hiểu các sợi dây. Việc đọc lưu lượng HTTPS có thể không đơn giản nhưng có thể thực hiện được nếu bạn giải mã các gói SSL.

Bạn thích điều gì nhất về Wireshark? Bạn đã bao giờ có bất kỳ vấn đề với nó? Hãy cho chúng tôi biết trong phần bình luận bên dưới.