Почему tshark печатает пустые строки?

Question

[Александр Карпов]

Чтобы отладить сервис, пытаюсь вывести заголовки клиента, которые получает сервер.
Моя последняя попытка была такой

tshark -i 3 -f"tcp port 443" -o ssl.debug_file:rsa_private.log -o ssl.keys_list:,443,http,/etc/nginx/ssl/cert.pem -o ssl.desegment_ssl_records:true -o ssl.desegment_ssl_application_data:true -T fields -e http.host

Но tshark возвращает в консоль пустые строки.


Например в `rsa_private.log` который записывается при выполнении команды

dissect_ssl enter frame #38 (first time)
  conversation = 0x7f8cd4ca55c0, ssl_session = 0x7f8cd4ca5af8
  record: offset = 0, reported_length_remaining = 15108
dissect_ssl3_record: content_type 23 Application Data
decrypt_ssl3_record: app_data len 15103, ssl state 0x93
packet_from_server: is from server - TRUE
decrypt_ssl3_record: using server decoder
decrypt_ssl3_record: no decoder available
association_find: TCP port 443 found 0x556df6f6fef0

И тут самой печальной, на мой взгляд, является строка `decrypt_ssl3_record: no decoder available`

Возможно причиной является использование алгоритма шифрования Диффи Хеллмана, и требуется перехват дополнительных данных для расшифровывания. Однако я пока не нашел способа сделать это.

Может быть кто-то сможет помочь мне. Спасибо!

Answer 1

[athacker]

А вам это зачем? Не проще включить полное логирование запросов на сервере, чтобы посмотреть, что приходит от клиента? Ну или если сервер не под вашим контролем, то можно сделать MITM с помощью fiddler или Burp suite.

Например, вот так делает fiddler: https://www.fiddlerbook.com/fiddler/help/httpsdecr...

Comments

[Александр Карпов]

Сервисы разные бывают, у всех логгирование "ненавключаешь", особенно когда нужно быстро что-то отладить. Т.е. вопрос в том, чтобы прокачаться в быстрой отладке и наблюдать за трафиком на более низком уровне (хотя бы заголовки).
Сервис может не проигнорировать заголовок и в логах я ничего не увижу. А админ какого-нибудь балансировщика будет утвержать, что передал все заголовки от клиента, не больше не меньше. И мне приходится плясать.
При наличии сырого трафика перехваченного где-то между я смог бы быстрее определять откуда ноги растут в случае проблем)

Fiddler мне кажется громоздким, к тому же работаю в командной строке. Графического режима совсем нет. (но я в прочем не знаком с Fiddler, возможно он действительно решает мою задачу, хотя и вряд ли)

Спасибо за ответ!