sslsniffを変更して.pcapを保存する

Question

sslsniffを修正することは可能でしょうか？つまり、libpcapを実装することで、解読されたネットワークトラフィックを含む.pcapファイルを作成できますか？ sslsniffはパケットデータを復号化できるので、暗号化されたデータを復号化されたデータに置き換えることができると思ったので、Wiresharkで見ることができますか？これは可能ですか？

Answer 1

.pcapファイルには、リンクレイヤ固有のヘッダーを持つネットワークレイヤパケットが格納されます。しかし、SSL接続を解読した結果、実際にはアプリケーションレイヤーの双方向ストリームのストリームになります。そのバイトストリームをリンクレイヤヘッダーを含むネットワークレイヤパケットに分割する簡単な方法はありません。理論的には、ストリームを任意のTCPセグメントに分割し、IPとリンクレイヤヘッダーを付加し、パケットのアドレス、タイムスタンプなどを元のパケットから対応するものに一致させるように非常に努力することが可能です可能。パケットサイズ、チェックサムなどはもちろん変更されますが、単純なTCP接続を模倣してカプセル化を行うのか、NULL暗号を使用してSSL接続を行うのかによって、パケットがまったく存在しません。しかし、これはOpenSSLがアプリケーションに提供するAPIでは非常に難しく、sslsniffの既存のアーキテクチャに統合するのは簡単ではありません。

理論上、はい、できますが、実際には.pcapファイルが間違ったレイヤーで抽象化されているため、あまり簡単ではありません。