Wireshark 3.x实战：手把手教你用密钥日志文件解密恶意软件的HTTPS流量（附Dridex样本分析）

Wireshark 3.x实战：密钥日志文件解密HTTPS流量与恶意软件行为分析

当你面对一个充满加密HTTPS流量的PCAP文件时，是否曾感到束手无策？在企业安全应急响应和恶意软件分析领域，解密HTTPS流量往往是揭露威胁行为的关键一步。本文将带你深入实战，通过Wireshark 3.x结合SSL/TLS密钥日志文件，一步步解密恶意软件的加密通信，并以Dridex样本为例，展示如何从解密后的流量中提取关键威胁指标。

1. HTTPS流量解密的核心原理

现代恶意软件普遍采用HTTPS协议进行通信，这给安全分析人员带来了巨大挑战。不同于传统的HTTP流量可以直接查看内容，HTTPS流量在传输层就被加密，常规方法难以窥探其真实内容。

TLS密钥日志文件（SSLKEYLOGFILE）是解密HTTPS流量的关键。它记录了客户端与服务器端协商过程中生成的加密密钥，包括：

• 客户端随机数（Client Random）
• 服务器随机数（Server Random）
• 主密钥（Master Secret）
• 会话密钥（Session Keys）

当你在捕获网络流量时同时获取了这个密钥日志文件，就相当于拥有了解密HTTPS通信的"万能钥匙"。以下是密钥日志文件的一个示例片段：

CLIENT_RANDOM 5a5b5c5d6e6f7a7b8c8d9e0f1a2b3c4d 0123456789abcdef0123456789abcdef0123456789abcdef0123456789abcdef SERVER_RANDOM a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 9876543210fedcba9876543210fedcba9876543210fedcba9876543210fedcba

注意：密钥日志文件必须在流量捕获过程中生成，事后无法补录。这也是为什么在应急响应中，提前部署密钥日志记录机制如此重要。

2. Wireshark配置与HTTPS解密实战

2.1 环境准备与基础配置

在开始解密前，确保你已具备以下条件：

• Wireshark 3.x或更高版本
• 包含HTTPS流量的PCAP文件
• 对应的SSL/TLS密钥日志文件
• 安全分析环境（推荐使用Linux或macOS系统）

配置Wireshark解密HTTPS流量的步骤：

1. 打开Wireshark，加载目标PCAP文件
2. 导航至Edit→Preferences
3. 在左侧面板选择Protocols→TLS
4. 找到(Pre)-Master-Secret log filename选项
5. 点击浏览按钮，选择你的密钥日志文件
6. 点击OK保存配置

配置完成后，Wireshark会自动应用密钥日志文件解密所有匹配的HTTPS流量。你可以通过以下过滤表达式快速定位解密后的HTTP流量：

(http.request or tls.handshake.type eq 1) and !(ssdp)

2.2 解密效果验证

成功配置后，原先显示为TLS或SSL的加密流量现在会显示为HTTP协议。你可以通过以下特征验证解密是否成功：

• 原先的TLSv1.2或TLSv1.3协议标签变为HTTP
• 能够看到完整的HTTP请求方法（GET/POST等）
• 可以查看HTTP头部信息和URL路径
• 能够跟踪完整的HTTP会话流

在Dridex样本分析中，解密后的流量会暴露出恶意软件的C2服务器通信和文件下载行为，这是我们后续分析的重点。

3. Dridex恶意软件流量深度分析

Dridex是一种典型的银行木马恶意软件，它通过HTTPS协议与C2服务器通信，并下载后续恶意负载。通过解密后的流量，我们可以清晰地看到其攻击链。

3.1 C2通信行为分析

解密后的Dridex流量通常显示以下特征性行为：

1. 初始信标（Beacon）：

   • 定时向C2服务器发送HTTPS POST请求
   • 包含受害主机信息（如系统版本、用户名等）
   • 使用特定路径如/docs.php、/gate.php

2. 命令获取：

   • C2服务器返回加密的配置信息
   • 包含后续要下载的模块列表
   • 指定攻击目标和行为参数

3. 模块下载：

   • 通过HTTPS GET请求下载DLL或EXE文件
   • 使用伪装成正常网站的域名
   • 文件通常托管在 compromised合法网站上

以下是一个典型的Dridex C2通信HTTP流示例：

POST /docs.php HTTP/1.1 Host: 105711[.]com User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 Content-Length: 342 Content-Type: application/x-www-form-urlencoded id=7a3b1c9d&os=Windows10&user=Admin&action=checkin&data=EncryptedPayload...

3.2 恶意文件提取与验证

从解密后的流量中，我们可以直接导出Dridex下载的恶意文件：

1. 在Wireshark中选择File→Export Objects→HTTP
2. 从列表中找到可疑的DLL或EXE文件
3. 导出到安全环境进行分析

导出文件后，建议立即计算其哈希值作为IOC（Indicator of Compromise）：

sha256sum invest_20.dll

得到的SHA256哈希值（如31cf42b2a7c5c558f44cfc67684cc344c17d4946d3a1e0b2cecb8eb58173cb2f）可以提交到VirusTotal等在线沙箱进行进一步分析，验证其恶意性并获取更多情报。

4. 威胁狩猎与IOC提取

解密HTTPS流量的最终目的是提取有价值的威胁指标（IOC），用于企业内部的威胁狩猎和防御措施更新。

4.1 关键IOC提取方法

从解密后的Dridex流量中，我们可以提取以下类型的IOC：

4.2 流量特征与检测规则

基于解密流量的分析，我们可以编写检测规则来识别类似的恶意流量。以下是一个Snort规则的示例：

alert tcp any any -> any any (msg:"Dridex C2 Communication"; flow:established,to_server; content:"POST"; http_method; content:"/docs.php"; http_uri; content:"action=checkin"; http_client_body; metadata:service http; sid:1000001; rev:1;)

对于企业安全团队，建议将提取的IOC整合到SIEM系统中，建立持续的监控机制。同时，解密后的流量分析结果可以帮助优化现有的安全控制措施，如：

• 更新防火墙规则阻断C2域名
• 在WAF中添加恶意路径检测
• 在终端防护中添加文件哈希阻断
• 培训SOC团队识别类似流量模式

5. 高级技巧与实战经验分享

在实际的恶意软件分析工作中，HTTPS流量解密只是第一步。以下是一些来自实战的高级技巧：

技巧1：批量提取IOC

使用tshark命令行工具可以批量处理多个PCAP文件并提取IOC：

tshark -r dridex.pcap -Y "http" -T fields -e http.host -e http.request.uri | sort | uniq > iocs.txt

技巧2：关联时间线分析

将解密后的HTTP请求与系统日志时间线关联，可以重建完整的攻击链：

1. 首次C2连接时间
2. 恶意文件下载时间
3. 数据外传时间点
4. 横向移动迹象

技巧3：解密流量的自动化分析

对于大型PCAP文件，可以编写脚本自动化分析解密后的流量：

from pyshark import FileCapture pcap = FileCapture('dridex.pcap', display_filter='http') for pkt in pcap: if 'http' in pkt: print(f"Host: {pkt.http.host}, URI: {pkt.http.request_uri}")

在真实的应急响应场景中，时间往往非常紧迫。建议安全团队提前做好以下准备：

• 在关键系统上预配置SSL/TLS密钥日志记录
• 建立标准化的PCAP分析流程
• 维护更新的恶意软件特征库
• 定期演练HTTPS流量解密和分析技能

通过本文介绍的技术和方法，安全团队可以显著提升对使用HTTPS的恶意软件的检测和分析能力。记住，在对抗不断进化的网络威胁时，解密加密通信往往是突破僵局的关键一步。