python - 使用 libpcap 的 TLS 解密

Question

我想检查记录的 pcap 文件中的网络数据。具体来说，websockets 流量。

如果重要的话，我正在使用 python websockets 库作为客户端。无论如何，我正在记录所有 session 并为我的 python 应用程序设置环境变量 SSLKEYLOGFILE。

我可以使用 (Pre)-Master-Secret 日志文件名在 wireshark 中看到解密的数据。

我知道如何使用 libpcap，但从未解密过 TLS/SSL 流量。基本上，我想做的是逐个数据包解密并处理其数据(以及原始 pcap header ，因为我关心数据包到达时间)。我在网上找不到任何东西，逆向工程 wireshark 代码似乎很麻烦。

数据包解密后，我想我会编写自己的 websockets 解析器。

我应该如何处理它？这个问题在 python/C/C++ 中有解决方案吗？

是否有任何简单的库可以做到这一点？

Answer 1

如果您想使用 PCAP + SSLKEYLOGFILE 解密 TLS 流量，则可以使用 Wireshark 的代码。

另一种选择是使用 TLS 代理，例如 SSLsplit或 PolarProxy使用解密的 websocket 流量(去除 TLS)创建 PCAP 文件。这允许您使用 libpcap 读取解密的数据包，而无需使用 Wireshark 的源代码。