“使用某達速遞的官網登陸及APP登錄，來學習Wireshark的使用。”

在如今這個HTTPS深入人心的情況下，作為一個也不算很小的快遞，某達速遞，不但全站HTTP，而且登錄帳號密碼明文未加密傳輸，也算是技術落后到了一定程度。

本文將以它為例，學習如何從HTTP流量中提取帳號密碼。

01

—

準備工作

首先，備好Wireshark，打開，在外網網卡上抓包。

其次，用瀏覽器訪問http://www.yundaex.com/cn/index.php，并在手機上下載安裝其APP，找到登錄頁面。

web頁面

APP頁面

最后，了解HTTP協議。

HTTP報文流內，包含一個個HTTP請求和響應對，新版的Wireshark會對HTTP對使用箭頭進行標示。

由于帳號和密碼都是在客戶端輸入，然后向服務器發送，因此，這些信息應該在上行報文中查找。

下面，分別對網頁版和APP版登錄進行分析。

02

—

網頁版分析

找到登錄框，輸入任意用戶名zhanghao密碼1111111，進行登錄操作。

正常情況下根據DNS分析，可獲取網站相關的域名等，由于不是本文分析重點，因此略過。

登錄操作過程產生了數個HTTP對，包括GET和POST，一般上送數據的過程更可能在POST中，因此先看POST，如果需要，再看GET。

選中一個POST報文，右鍵，追蹤流，TCP流，由于剛好本次操作的所有HTTP報文都在一個流內，所以不需要重復這個選擇然后追蹤流的過程。

很容易，在流中找到了輸入的帳號和密碼，此處二者都未加密，一般注意網絡安全的網站都會將二者MD5加SALT，但這類不注意信息安全的奇葩除外。

帳號和密碼在POST體內按參數分割：

loginName=zhanghao&password=1111111&

所在的HTTP請求為：

POST /ydmb/service/accountno/login.json HTTP/1.1

Host: member.yundaex.com

當然，我輸入的帳號密碼是錯誤的，響應就不分析了。

我們根據請求URL，找到Wireshark主界面中對應對應的報文，點擊，在Wireshark下方，數據已經自動分析好了：

用戶名和密碼分別對應loginName和password兩項。

03

—

Android APP版分析

進行APP分析，找到登錄框，輸入任意用戶名18552623128密碼11111111，進行登錄操作。

分析過程基本相同，但其域名和格式不同，雖然仍然為HTTP，但服務器端口為12374，數據仍然在POST體內。

賬號密碼所在的HTTP請求為：

POST /appserver/interface.do HTTP/1.1

Host: mapp.yundasys.com:12374

帳號和密碼在POST體內按參數分割：

sign_method=yd_md5&req_time=1513676749287&data={"loginName":"18552623128","password":"11111111"}&action=member.account.login&appver=5.1.0&version=V1.0&sign=FB81EB5D771259D7DE90433F47CD81F4

我們同樣可以在相應報文的下方，找到已經自動分析好了的數據：

用戶名和密碼都在data項的json結構內，分別為loginName和password兩項。

到這里，某達快遞的登錄就分析完畢了，我們能從中提取到登錄帳號和密碼，如果需要，還能提取到其它信息。

到合適的地方，開嗅探，收密碼去。

歡迎勾搭。

長按進行關注。