公司能不能監(jiān)控到微信聊天？
[導讀]最近有朋友私信問我一個問題，在公司用微信聊天，用公司網(wǎng)絡，公司能看到聊天內(nèi)容嗎？?坦率地說，以前從來沒有分析過微信這類聊天軟件，大概率使用私有協(xié)議。而私有協(xié)議在協(xié)議分析軟件上的呈現(xiàn)，一般都是TCP封裝一長串字節(jié)流，而這些字節(jié)流究竟是什么內(nèi)容，協(xié)議軟件無法給出答案！看看協(xié)議分析軟件...
最近有朋友私信問我一個問題，在公司用微信聊天，用公司網(wǎng)絡，公司能看到聊天內(nèi)容嗎？
?坦率地說，以前從來沒有分析過微信這類聊天軟件，大概率使用私有協(xié)議。而私有協(xié)議在協(xié)議分析軟件上的呈現(xiàn)，一般都是TCP封裝一長串字節(jié)流，而這些字節(jié)流究竟是什么內(nèi)容，協(xié)議軟件無法給出答案！看看協(xié)議分析軟件能否看到微信網(wǎng)頁版、手機APP版的聊天內(nèi)容？??一、網(wǎng)頁版微信?1.協(xié)議分析結(jié)果不知道大家看到“美女好[玫瑰]”哇，這個就是協(xié)議分析軟件分析出來的聊天內(nèi)容。??
2.真實聊天內(nèi)容?
一摸一樣！
?3.實驗結(jié)論協(xié)議分析軟件可以將聊天內(nèi)容解密出來！?4.實驗分析網(wǎng)頁版微信通常是使用瀏覽器來與微信服務器通信的，而瀏覽器多種多樣，有Chrome、Firefox、IE等等，要想與不同的廠商瀏覽器通信，必須使用標準協(xié)議，而標準協(xié)議在協(xié)議分析軟件上是可以解開的。
考慮到網(wǎng)頁版的微信，可能會使用SSL/TLS加密聊天內(nèi)容，需要用Fiddle作為中間人，用Fiddle偽造的證書來欺騙瀏覽器，讓瀏覽器誤以為Fiddle就是微信服務器。Fiddle再與微信服務器建立SSL/TLS加密通道，傳輸聊天內(nèi)容。?
二、手機版微信
?協(xié)議分析結(jié)果??
微信手機版沒有使用TLS HTTP= HTTPS的加密傳輸方式，而是使用了HTTP的傳輸方式，如上圖所示。?每一個報文大概是這個樣子的：?
除了HTTP 報文頭（HTTP Header）是明文的，HTTP報文體（HTTP Body）看起來是一堆雜亂無章的字節(jié)流。?沒有找到聊天的任何內(nèi)容。最最滑稽的是，當發(fā)送聊天內(nèi)容時，F(xiàn)iddle沒有任何反應！?意味著發(fā)送聊天內(nèi)容的報文既不是HTTP，也不是HTTPS，那很可能是TCP、或UDP協(xié)議原始（Raw）封裝。?為了確認到底是TCP還是UDP傳輸報文，特意去了微信研發(fā)公眾號去確認，得到的確認是采用TCP傳輸。分為兩種連接方式：?
MMTLS是什么樣的存在？
MMTLS是TLS1.3版本的改良版，或者說簡化版。在微信決定使用MMTLS之前，TLS1.3版本長期逗留在草案狀態(tài)，沒有形成一個最終標準。于是微信決定采用TLS1.3草案中的標準，大刀闊斧砍掉客戶端認證這個環(huán)節(jié)，只保留服務器認證。?手機微信APP里預置了微信服務器的兩件秘密武器：?
?坦率地說，以前從來沒有分析過微信這類聊天軟件，大概率使用私有協(xié)議。而私有協(xié)議在協(xié)議分析軟件上的呈現(xiàn)，一般都是TCP封裝一長串字節(jié)流，而這些字節(jié)流究竟是什么內(nèi)容，協(xié)議軟件無法給出答案！看看協(xié)議分析軟件能否看到微信網(wǎng)頁版、手機APP版的聊天內(nèi)容？??一、網(wǎng)頁版微信?1.協(xié)議分析結(jié)果不知道大家看到“美女好[玫瑰]”哇，這個就是協(xié)議分析軟件分析出來的聊天內(nèi)容。??
2.真實聊天內(nèi)容?
一摸一樣！
?3.實驗結(jié)論協(xié)議分析軟件可以將聊天內(nèi)容解密出來！?4.實驗分析網(wǎng)頁版微信通常是使用瀏覽器來與微信服務器通信的，而瀏覽器多種多樣，有Chrome、Firefox、IE等等，要想與不同的廠商瀏覽器通信，必須使用標準協(xié)議，而標準協(xié)議在協(xié)議分析軟件上是可以解開的。
考慮到網(wǎng)頁版的微信，可能會使用SSL/TLS加密聊天內(nèi)容，需要用Fiddle作為中間人，用Fiddle偽造的證書來欺騙瀏覽器，讓瀏覽器誤以為Fiddle就是微信服務器。Fiddle再與微信服務器建立SSL/TLS加密通道，傳輸聊天內(nèi)容。?
- 瀏覽器與Fiddle建立SSL/TLS加密通道
- Fiddle與微信服務器建立SSL/TLS加密通道
- Fiddle做為二傳手，將消息在兩條通道上進行傳遞，先解密，再加密
- Fiddle需要偽造微信服務器證書
- 電腦需要安裝、信任Fiddle自簽名的根證書
二、手機版微信
?協(xié)議分析結(jié)果??
微信手機版沒有使用TLS HTTP= HTTPS的加密傳輸方式，而是使用了HTTP的傳輸方式，如上圖所示。?每一個報文大概是這個樣子的：?
除了HTTP 報文頭（HTTP Header）是明文的，HTTP報文體（HTTP Body）看起來是一堆雜亂無章的字節(jié)流。?沒有找到聊天的任何內(nèi)容。最最滑稽的是，當發(fā)送聊天內(nèi)容時，F(xiàn)iddle沒有任何反應！?意味著發(fā)送聊天內(nèi)容的報文既不是HTTP，也不是HTTPS，那很可能是TCP、或UDP協(xié)議原始（Raw）封裝。?為了確認到底是TCP還是UDP傳輸報文，特意去了微信研發(fā)公眾號去確認，得到的確認是采用TCP傳輸。分為兩種連接方式：?
- 長連接：TCP 私有協(xié)議 MMTLS 業(yè)務層
- 短連接：TCP HTTP MMTLS 業(yè)務層
MMTLS是什么樣的存在？
MMTLS是TLS1.3版本的改良版，或者說簡化版。在微信決定使用MMTLS之前，TLS1.3版本長期逗留在草案狀態(tài)，沒有形成一個最終標準。于是微信決定采用TLS1.3草案中的標準，大刀闊斧砍掉客戶端認證這個環(huán)節(jié)，只保留服務器認證。?手機微信APP里預置了微信服務器的兩件秘密武器：?
- ECDSA公鑰
- 靜態(tài)ECDH公鑰
- 微信網(wǎng)頁版：使用公司網(wǎng)絡，公司可以看到聊天內(nèi)容，無論使用的是公司電腦還是個人電腦。但是如果使用4G網(wǎng)絡，流量沒走公司，公司自然也無法看到聊天內(nèi)容。
- 微信手機版：使用私有協(xié)議通信，手機APP嵌入了服務器的公鑰，APP只認與這個公鑰一一對應的私鑰簽名。使用其它私鑰簽名的一概不認，所以無法欺騙微信APP。使用微信手機版聊天是安全的，無論是使用公司網(wǎng)絡還是4G網(wǎng)絡，公司都無法看到聊天內(nèi)容。
下載文檔
