Появилась необходимость анализа трафика отправляемого чужим ПО (клиентская часть), оно взаимодействует с RDP сервером, при прохождении авторизации на сервере заметил что пересылаемый трафик весьма специфичен (а именно этапы обмена TLS handshake) т.к. согласно документации после отправки клиентом сообщения Client Hello - сервер должен отправить сертификат (клиент первый раз подключается), но этого не происходит, проанализировав трафик я выделил следующие этапы обмена TLS handshake:
- Client - ClientHello + непонятная статическая последовательность
- Server - ServerHello, Change Cipher Spec + рандомная последовательность БЕЗ ServerHelloDone
- Client - Change Cipher Spec
- Server - Alert (Предупреждение какое-то)
- Client - Application Data (Авторизационные данные)
В основном меня интересуют первые 3 этапа, места которые не удалось расшифровать на картинках я выделил красным, а так же привел в текстовом виде под картинками
Этап 1: Client Hello + непонятная последовательность
00 2d 00 0a 00 06 00 04 00 17 00 18 00 0b 00 02
01 00 00 0d 00 10 00 0e 04 01 05 01 02 01 04 03
05 03 02 03 02 02 00 17 00 00 ff 01 00 01 00
Этап 2: ServerHello, Change Cipher Spec + рандомная последовательность
7b 7d b4 e6 51 a4 1b 0f 59 f6 8c 8d 92 5e d0 a8
7a 44 64 bf 90 94 0e 83 a1 71 43 c2 32 84 e3 e4
4d a3 e4 92 02 91 dd a1 1e e9 42 f1 ad 2c 12 20
Этап 3: Client Change Cipher Spec
14 03 01 00 01 01 16 03 01 00 30 a9 c3 24 d9 9e
be 48 88 0d 55 24 64 db 9a 74 bd 19 e5 ff 33 f4
6f 60 38 32 94 90 f0 e8 53 a1 75 eb 1e 96 76 da
55 cc 94 c0 17 75 e8 b4 fa 1a a4
У официального RDP клиента авторизация проходит согласно TLS документации, но у данного клиента (стороннее ПО) почему то процесс авторизации отличается. Прошу Помочь в расшифровке трафика до конца. А так же подскажите пожалуйста какие из этих данных участвуют при шифровании трафика и как они называются (напр. pre-master-secret и т.д.), не получается найти толковых ответов с примерами. Спасибо