修改sslsniff以保存.pcap

Question

是否可以修改sslsniff，即通過實現libpcap，以便您可以創建一個包含解密網絡流量的.pcap文件？由於sslsniff可以解密數據包數據，我認爲可以用解密的數據替換加密的數據，以便我可以在Wireshark中查看它？這可能嗎？

Answer 1

.pcap文件存儲具有鏈路層特定報頭的網絡層分組。但是，解密SSL連接的結果實際上是應用程序層的雙向字節流。沒有直接的方法將字節流拆分成帶有鏈路層頭的網絡層數據包。理論上講，可以將流分成任意的TCP段，預先設置一個IP和一個鏈路層頭，並儘量使包的地址，時間戳等與原始數據包中的相應數據匹配，儘可能接近可能。數據包大小，校驗和等等當然會改變，並且根據封裝是通過模仿純TCP連接還是使用NULL密碼的SSL連接來完成的，一些數據包根本不存在。然而，所有這些都很難用OpenSSL提供給應用程序的API，並且不容易集成到現有的sslsniff體系結構中。

所以在理論上，可以這樣做，但實際上並不容易，因爲.pcap文件是錯誤層的抽象。