Wireshark Traffic verstehen

[sugar76]

Hallo allerseits,

ich habe mittels Wireshark den Traffic von/zu einer bestimmten IP protokolliert.

Hintergrund: ich möchte gerne wissen, wie oft eine bestimmte Anwendung "nach Hause telefoniert" und welche Daten dabei übertragen werden.

Jetzt habe ich das Problem, dass ich in den protokollierten Daten nichts sinnvolles lesen kann - ich kann mir jedes Paket ansehen, ist aber alles HEX-Code. Teils sind die Pakete auch per SSL verschlüsselt.

Hat da jemand eine Idee, wie ich die mitgeschnittenen Daten irgendwie inhaltlich analysieren kann?

Wireshark_IP_50.56.pcapng

Gruß

[gORDon_vdLg]

Das ist ein gespeichertes Capture von Wireshark, enthält SSL Traffic bringt also nichts. Das muss erstmal als Klartext mitgeschnitten werden.

[sugar76]

Das ist ein gespeichertes Capture von Wireshark, enthält SSL Traffic bringt also nichts. Das muss erstmal als Klartext mitgeschnitten werden.

Habe jetzt die DLL, von der das kommt, dekompiliert und direkt im Quellcode eine Routine eingebaut, welche den Traffic im Klartext mitloggt.

Meine ursprüngliche Idee war, direkt am Betriebssystem anzusetzen, unmittelbar bevor die Verschlüsselung stattfindet. Weiß aber nicht, wie das gehen soll.

[gORDon_vdLg]

Meine ursprüngliche Idee war, direkt am Betriebssystem anzusetzen, unmittelbar bevor die Verschlüsselung stattfindet. Weiß aber nicht, wie das gehen soll.

Kommt drauf an, wenn das über Windows läuft kannst du die APIs (musst du raussuchen, habe ich gerade nicht im Kopf) hooken. Wenn z.B. OpenSSL verwendet wird kommt es darauf an ob statisch oder dynamisch gelinkt ist, bei ersterem musste halt ein bisschen mehr suchen. Da du aber von dekompilieren sprichst gehe ich mal von .net aus, da wäre "CLR Hosting" ein passender Suchbegriff. Da wärst du in der Lage den .net Krämpel zu hooken, habe ich auch schonmal gemacht (aber für was anderes), funktioniert nach n bisschen gefrickel ganz gut und ist dann natürlich etwas universeller.