☰

无法使用 wireshark (http) 进行身份验证

tag-icon • tag-icon wireshark
无法使用 wireshark (http) 进行身份验证

我正在尝试从通过端口 18080 与 tomcat apache 连接的应用程序获取身份验证。我知道用户名/密码，只是为了检查应用程序安全性，以便可以使用 https 而不是 http。我用 wireshark 嗅探流量，我可以看到用户名，但在帖子中看不到密码。我使用“标签包含 david”。David 是登录用户名，我看到了...

POST /emThriftAPI/UserSession HTTP/1.0
Content-Type: application/x-thrift
Accept: application/x-thrift
User-Agent: C#/THttpClient
Host: win-56dqt3ueu2j:18080
Content-Length: 355
Connection: Keep-Alive


[1,"UserSession:IDL_Register",1,0,{"1":{"str":"emuser"},"2":{"str":"|GSR|WIN-56DQT3UEU2J|3152|1516698299|ChallengeSIDStr|2:237074EE80764FBDC5277571E95C35A9CD8C3AE7AB620707A701815F30A7E16F33BBA6E384317F5C360D12E9E6C24383A75C1B9F8EE28344F04B540F6ABCE3AD"},"3":{"str":"CLIENTE"},"4":{"str":"user"},"5":{"str":"GUI"},"6":{"str":"9.0.18.000"},"7":{"i64":600}}]HTTP/1.1 200 OK
Server: Apache-Coyote/1.1
Content-Type: application/x-thrift
Date: Tue, 23 Jan 2018 09:04:58 GMT
Connection: close

[1,"IDL_Register",2,0,{"0":{"rec":{"1":{"i32":1},"2":{"str":""},"3":{"str":"417EB1BE21513F85D2C1EA5D51BB5A22B96CD299D66393D0485F496E6D3FAF625DF2D10786CFBF94A8CB8AC216DB84C30CBE8D3DF8D6A89E5287ABBFD42D866D"},"4":{"str":"david"}}}}]

请问有什么帮助吗？

答案1

密码几乎从不以纯文本形式传输。它们以密码哈希的形式传输

我不熟悉您的应用程序，但第三个字符串看起来像一个哈希。

看起来服务器还提供了一个可用于计算哈希值的挑战。

您可以看到用户名，这是一个坏消息，并且连接未加密。

相关内容