江苏龙网

  1. 主页 > 生活百科 > >

使用Arkime抓包，捕获解密HTTPS流量( 二 )

Arkime抓包


添加PolarProxy的根CA证书信任为了让PolarProxy服务使用的根CA证书同时被操作系统和浏览器所信任，以便通过解密代理运行TLS流量而不会出现错误 。请按照以下步骤添加对根CA的信任（其他发行版可能稍有差异）：
sudo mkdir /usr/share/ca-certificates/extra
sudo openssl x509 -inform DER -in /var/log/PolarProxy/polarproxy.cer -out /usr/share/ca-certificates/extra/PolarProxy-root-CA.crt
sudo dpkg-reconfigure ca-certificates
选择"extra /PolarProxy-root-CA.crt"证书颁发机构
按<确定>
配置Firefox浏览器从以下位置下载根CA证书：localhost:10080/polarproxy.cer
在Firefox 浏览器地址栏输入: about:preferences＃privacy
向下滚动到"证书"，然后单击"查看证书"

使用Arkime抓包，捕获解密HTTPS流量

文章插图
 
导入>选择"polarproxy.cer"，导入添加信任 。
配置外发HTTPS流量的防火墙重定向最后是将本地用户的传出HTTPS流量重定向到TCP端口上PolarProxy服务监听10443 。
在/etc/ufw/before.rules添加如下nat规则将传出的HTTPS流量重定向到侦听端口10443的本地PolarProxy服务 。
*nat
:OUTPUT ACCEPT [0:0]
-A OUTPUT -m owner --uid 1000 -p tcp --dport 443 -j REDIRECT --to 10443
COMMIT
保存before.rules之后，重新加载UFW以激活端口重定向 。
sudo ufw reload
注意，如果你使用的itpables防火墙，而非UFW，则等效规则为：
iptables -t nat -A OUTPUT -m owner --uid 1000 -p tcp --dport 443 -j REDIRECT --to 10443
确保修改防火墙规则中的uid值（1000）以匹配PolarProxy应该为其解密HTTPS流量的本地用户的uid值 。
可以通过运行命令"id -u"来查看当前的uid值 。
也可以将多个用户的流量从重定向到PolarProxy，但是，一定注意避免转发"proxyuser"用户HTTPS流量，否则就会形成无限死循环了 。
可以使用 "id -u proxyuser" 命令查看proxyuser的uid 。
这样，该主机已经配置为将自动解密HTTPS流量到到Arkime，打开Firefox并访问https网站，就可以返在Arkime查看到相关的流量 。




推荐阅读


上一篇：防火墙必须掌握的区域特性与划分

下一篇：自建一个网盘系统