通过Wireshark 解密展示 https和quic数据明文

通过Wireshark 解密展示 https和quic数据明文

wireshark 可以观察http方式的各种信息，方便分析问题，对于https或者quic 加密处理的如何展示明文？

解密https包

• tcpdump 抓包

  # tcpdump  -ni any port 443 -w https.pcap
  

• linux 设置环境变量SSLKEYLOGFILE，访问支持https 的网站

  # export SSLKEYLOGFILE=~/sslkeylog.log
  # curl -v https://www.baidu.com/ -o /dev/null
  

• 将抓到的包 baidu.pcap 和 密钥记录日志文件sslkeylog.log 放到我们的windows/mac 上 (本人win10)

• 打开wireshark 软件设置: [编辑]-[首选项]-[协议]-[TLS]-[(Pre)-Master-Secret log filename] 选中sslkeylog.log ，如下
  

*在 wireshark 打开刚才抓的包https.pcap，查看

quic 包解密

quic（http3） 数据包的解密和上述https 过程基本一致，
不同点：
想要抓到quic包，需用通过某种方式对支持quic 的网站发起请求，因笔者当前正在学习 quic 相关，已重新安装curl 支持http3的版本。

• 安装curl
  参考： https://github.com/curl/curl/blob/master/docs/HTTP3.md#quiche-version

• tcpdump 抓包

  # tcpdump  -ni any port 443 -w quic.pcap
  

• linux 设置环境变量SSLKEYLOGFILE，访问支持https 的网站

  # export SSLKEYLOGFILE=~/sslkeylog.log
  # curl --http3 https://cloudflare-quic.com -v  -o /dev/null
  

• wireshark 查看quic.pcap （未配置sslkeylog.log）效果, 协议为quic,加密文本
  

• 导入sslkeylog.log 文件（重新从linux 拿下来并配置wireshark: [编辑]-[首选项]-[协议]-[TLS]-[(Pre)-Master-Secret log filename] ）,效果图, 显示了HTTP3 协议，可跟追
  
  追踪流 --> quic strema 查看明文内容