Как отличить разные типы пакетов от одного и того же трафика HTTPS?

Question

Там что-то, что беспокоит меня: я хотел бы, чтобы отличить пакет наступающего от Youtube и пакет, исходящего из Википедии: они оба путешествует по HTTPS, и они оба из порта 443.

Поскольку они путешествуют по HTTPS , их полезная нагрузка не понятна, и я не могу выполнить полную проверку Deep Packet: я могу смотреть только на заголовки структуры Ethernet, IP и TCP. Я могу посмотреть источник IP-адресов обоих пакетов и посмотреть, откуда они на самом деле происходят, но чтобы узнать, есть ли они из Youtube или Wikipedia, я уже должен знать IP-адреса этих двух сайтов.

То, что я пытаюсь выяснить, это способ рассказать по потоковой передаче через HTTP (например, Youtube) и простой транспорт HTML (Wikipedia) без изучения полезной нагрузки.

Редактировать 1: в сеансе Wireshark, начатом во время воспроизведения видео, я получил тонны пакетов. Возможно, я должен начать смотреть на таймаут между пакетами, исходящими из того же адреса.

Answer 1

Вы можете попробовать посмотреть параметры заголовка TCP, но, как правило, трафик зашифрован по какой-то причине ... так, чтобы он не был замечен человеком-в-середине. Если бы это было возможно, это было бы, по определению, плохим стандартом шифрования. Поскольку у вас есть захват и вся информация , известная пользовательскому агенту, вы не являетесь «посередине». Но вам нужно будет использовать информацию пользовательского агента для дешифрования, прежде чем вы сможете реально увидеть внутри потока.

Answer 2

эта ссылка: Reverse ip, find domain names on ip address

указывает несколько методов.

Предложите работу nslookup on the IP из программы C.

И помня, что значения адреса/IP может быть вложен в данном пакете, он может (вероятно) потребуется некоторое исследование пакетных данных, чтобы отправитель пакета

Answer 3

Ну, у вас есть столкнулся с дилеммой. Как заставить пользователей информации взаимодействовать со своими серверами, когда они явно шифруют информацию, чтобы получить анонимность. Быстрого ответа вы не можете. Но только если вы сможете проникнуть через SSL-соединение, вы получите больше информации.

Даже сертификат SSL, замененный сервером и клиентом, не поможет, поскольку он идентифицирует только сервер (а не виртуальный хост, за которым вы будете пытаться подключиться), и более одного сервера SSL (с функцией известный как виртуальный хост HTTP) несколько серверов могут прослушивать соединения на одном и том же порту того же адреса.

Параметры SSL согласованы сразу после подключения, а виртуальный сервер обычно выбирается с полем заголовка Host http (см. RFC-2616), но эти ocurr после завершения согласования SSL, поэтому у вас нет доступ к ним.

Единственное, что вы можете сделать наверняка, это попытаться определить соединения для youtube по суммам и схемам соединений этого вида трафика.

Answer 4

Если вы просто заинтересованы в следующих потока данных в Wireshark вы можете использовать индекс TCP потока, фильтр будет что-то вроде tcp.stream == 12

Индекс потока начинается с нуля с первым потоком, который connecthark и приращения для каждого нового потока (постоянное соединение).

Таким образом, два разных потока между теми же IP-адресами будут иметь два разных номера. Например, потоку видео может быть 12, а аудиопоток между одинаковыми IP-адресами может быть 13.

Если вы начали захват до начала потока, вы сможете увидеть исходный трафик, SSL-соединение (большая часть этого текста находится в ясном тексте)

Answer 5

Возможно, вам стоит взглянуть на сертификат сервера. Он расскажет вам, является ли это YouTube (google) или facebook.

Это даст вам представление о том, является ли SSL-соединение для youtube, какой из них предназначен для facebook.