2

Появилась необходимость анализа трафика отправляемого чужим ПО (клиентская часть), оно взаимодействует с RDP сервером, при прохождении авторизации на сервере заметил что пересылаемый трафик весьма специфичен (а именно этапы обмена TLS handshake) т.к. согласно документации после отправки клиентом сообщения Client Hello - сервер должен отправить сертификат (клиент первый раз подключается), но этого не происходит, проанализировав трафик я выделил следующие этапы обмена TLS handshake:

  1. Client - ClientHello + непонятная статическая последовательность
  2. Server - ServerHello, Change Cipher Spec + рандомная последовательность БЕЗ ServerHelloDone
  3. Client - Change Cipher Spec
  4. Server - Alert (Предупреждение какое-то)
  5. Client - Application Data (Авторизационные данные)

В основном меня интересуют первые 3 этапа, места которые не удалось расшифровать на картинках я выделил красным, а так же привел в текстовом виде под картинками

Этап 1: Client Hello + непонятная последовательность

введите сюда описание изображения

00 2d 00 0a 00 06 00 04 00 17 00 18 00 0b 00 02 
01 00 00 0d 00 10 00 0e 04 01 05 01 02 01 04 03 
05 03 02 03 02 02 00 17 00 00 ff 01 00 01 00

Этап 2: ServerHello, Change Cipher Spec + рандомная последовательность

введите сюда описание изображения

7b 7d b4 e6 51 a4 1b 0f 59 f6 8c 8d 92 5e d0 a8 
7a 44 64 bf 90 94 0e 83 a1 71 43 c2 32 84 e3 e4 
4d a3 e4 92 02 91 dd a1 1e e9 42 f1 ad 2c 12 20

Этап 3: Client Change Cipher Spec

14 03 01 00 01 01 16 03 01 00 30 a9 c3 24 d9 9e 
be 48 88 0d 55 24 64 db 9a 74 bd 19 e5 ff 33 f4 
6f 60 38 32 94 90 f0 e8 53 a1 75 eb 1e 96 76 da 
55 cc 94 c0 17 75 e8 b4 fa 1a a4

У официального RDP клиента авторизация проходит согласно TLS документации, но у данного клиента (стороннее ПО) почему то процесс авторизации отличается. Прошу Помочь в расшифровке трафика до конца. А так же подскажите пожалуйста какие из этих данных участвуют при шифровании трафика и как они называются (напр. pre-master-secret и т.д.), не получается найти толковых ответов с примерами. Спасибо

2
  • А Wireshark что говорит на это? 18 авг 2017 в 6:37
  • Видит как протокол TPKT и содержимое пакета разбить на части не может, весь hex был скопирован из его поля "Continuation data"
    – vip72
    18 авг 2017 в 9:29

1 ответ 1

3

Это не случайные байты, это стандартные расширения TLS.

ClientHello:

00 2d - длина блока расширений в байтах

00 0a - тип расширения TLS, в данном случае Supported Groups
00 06 - длина данных расширения
00 04 00 17 00 18 - кривые sect193r1, secp256r1, secp384r1

00 0b - тип расширения, EC Points Format
00 02 - длина данных
01 00 - Uncompressed, ANSIX962CompressedPrime

00 0d - SignatureAlgorithms
00 10 - длина
00 0e 04 01 05 01 02 01 04 03 05 03 02 03 02 02 - разниые комбинации подписей и хешей

00 17 - ExtendedMasterSecret
00 00 - длина

ff 01 - RenegotiationInfo
00 01 - длина
00 - данные

ServerHello:

00 09 - длина блока расширений

00 17 - ExtendedMasterSecret
00 00 - длина 

ff 01 - RenegotiationInfo
00 01 - длина
00 - данные

После ChangeCipherSpec все данные зашифрованы.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.