Чем и как прослушать трафик SSL?

Question

[alexdora]

Дано:
1. Сервер на Ubuntu ввиде шлюза, где осуществляется доступ во внешнюю сеть со всеми рут правами
2. iPhone собственный
3. Сайт с https (чужой)
Нужно:
Просмотреть содержание запросов к данному https сайту с iPhone
Вопрос:
Каким софтом это сделать на Ubuntu. Нужно на один раз, максимально простой способ без лишних костылей.
Еще раз: Все в моей собственности, без каких-то замашек на взлом и прочее

ADD:
Нашел вот этот сайт
hackintuto.blogspot.ru/2012/10/man-in-middle.html

Вроде все понятно, только последнее приложение ettercap (5 шаг в конце) устанавливает обратно /proc/sys/net/ipv4/ip_forward с 1 на 0.

Answer 1

[DuD]

https://mitmproxy.org/ либо можно зеркалировать трафик с iphone по проводу.
Шлюз тут вам не поможет т.к. через него идет уже шифрованный траф.

Comments

[alexdora]

Это я так понимаю (если правильно понимаю) это консольный клиент для сайта? Если да, то мне точно не подойдет. Т.к мне надо глянуть ключи, которые передает iPhone

[alexdora]

И хочу отметить, что я не зря написал про шлюз. Я могу завернуть трафик от Iphone на некую программу, которая будет эмулировать все запросы. Но это я как понимаю называется MITM атака. Просто я надеюсь что есть какой-то софт, который позволяет это сделать без особых вниканий...

[alexdora]

Попробовал MITMPROXY. Даже с установленным профилем зараза нах посылает после нескольких запросов. Видимо проверяет что-то, а без профиля вообще ноль запросов. Жаль. Думал получится.

[DuD]

так стоп, если все в вашей собственности тогда намного проще. Берете сертификат, ставите его на какой нибудь nginx настроенный как прокси и на шлюзе через правила заворачиваете трафик на этот nginx. В его логах будет вся инфа.

[alexdora]

DuD: Какой именно сертификат и можно ссылку дать. А то я даже не знаю с чего копать начать. NGINX есть рабочий

[alexdora]

DuD: Вы случайно не о том, чтобы отзеркалить сайт себе на NGINX?

[DuD]

alexdora: сертификат того сайта к которому обращаетесь. Вам нужно между тем сайтом и вашим телефоном поставить нечто, что сможет прогнать через себя запросы. В этой роли может выступить nginx с сертификатом того сайта.

[alexdora]

Сразу отмечу, что речь идет о приложении. Но приложение точно обращается и делает все манипуляции через https.

[alexdora]

DuD: Чуть выше написал. Речь идет о приложении. Т.е даже попытка прогнать через MITM убирает приложение с ошибкой подключения. Да через MITM проходят заголовки и на последнем шаге какой-то шифрованный запрос, после которого общение приложение с https прекращается. Походу тут только sslstrip настраивать и собирать трафик :(

[DuD]

alexdora: если вы говорите что это не попытка вмешательства в канал, а "все ваше", тогда просто перете сертификат сайта, ставите его на проксю и заворачиваете трафик. Что там с mitm не вышло не знаю, вроде все просто как банан.

[alexdora]

DuD: В Пункте 3 написано, что сайт чужой. Все остальное - мое. Почему не вышло, уже выяснили - TLS проверка не проходится в приложении, не смотря на то что в iPhone добавили сертификат от MITM.
Это интересный опыт для меня, по крайней мере я осознал насколько дырявая система.
Обратился к ребятам с утра в Москве, попросили только сайт куда конектится и подключить iPhone по VPN. Весь дамп с необходимыми данными получил через 10 минут и в iPhone ставить сертификат даже не пришлось левый. На мой вопрос как, получил замечательный ответ:
При обращении к основным центрам сертификации, заворачивается запрос на их центр с такими же IP в рамках локальной сети. Они только отпроксировали сайт у себя и их же поддельный (типа корневой) подтверждает сертификат. Примерно 1.5 года они налаживали работу, гос. заказ.
Вот такие помидорчики с SSL. Я посмеялся, приложение работало как будто все нормально-все в порядке

[DuD]

alexdora: ну ребзя пошли дальше, подменяют даже корневой. Это более сложный аналог того что я пытался вам обьяснить.

Answer 2

[xmoonlight]

Зеркалирование порта шлюза.
И применение дебаггера:
www.telerik.com/fiddler
www.telerik.com/fiddler/add-ons
Иных вариантов - нет.

Comments

[alexdora]

И как это сделать, хотя бы сторону куда копать?

[xmoonlight]

alexdora: поиск "PORT MIRRORING" для модели вашего шлюза. Через это - также собирается статистика загрузки канала и т.д.

[DuD]

xmoonlight: не подойдет. Ибо там SSL, толку от зеркального SSL трафика столько же сколько и от дампа.

[xmoonlight]

DuD: ну вот же пишут: "Еще раз: Все в моей собственности, без каких-то замашек на взлом и прочее" или ....?

[DuD]

xmoonlight: да у него сертификата нет от того сайта куда приложение ходит скорее всего. А коли сертификата нет, то никакие выкрутасы кроме импорта своего сертификата в телефон и подстановки самоподписанного сертификата для того сайта на проксе, не подойдет.

[xmoonlight]

DuD: а-ну! с этим было бы глупо спорить)))

[alexdora]

xmoonlight: Взламываю в данном случае канал связи приложения и моего айфона. Мой айфон, мой данные - никакого взлома.

[xmoonlight]

alexdora: www.telerik.com/fiddler - должен помочь более чем.

[alexdora]

А программы есть не под windows? Подобного плана...
Fiddler я так понимаю коллектор и вроде еще и платный.

[xmoonlight]

alexdora: не под windows - не в курсе, а так - бесплатный он.