Фільтр у Wireshark для поля вказівки імені сервера TLS

9

Чи є у провідника фільтр для поля вказівки імені сервера TLS?

wireshark

8

ssl.handshake.extensions_server_name

— Шон Е
джерело

6

Здравствуйте, Шон Е. Хоча це може відповісти на питання, чи можете ви дати додаткові пояснення? Можливо, це було б корисно для інших.

— nixda

7

Відповідь Шона Е - це, мабуть, правильна відповідь, але у моєї версії проводів цього фільтра немає. Однак існують такі фільтри:

Щоб перевірити, чи існує поле SNI:

ssl.handshake.extension.type == 0

або

ssl.handshake.extension.type == "server_name"

Щоб перевірити, чи розширення містить певний домен:

ssl.handshake.extension.data contains "twitter.com"

— паліндром
джерело

2

ось що для мене спрацювало:tls.handshake.extensions_server_name contains "twitter.com"

— Олексій Андронов

2

Новіший Wireshark має контекстне меню R-Click з фільтрами.

Знайдіть Привіт клієнта за допомогою SNI, для якого ви хочете побачити більше пов'язаних пакетів.

Перейдіть до рукостискання / розширення: деталі імені_сервера та натисніть кнопку R вибрати Apply as Filter.

Дивіться прикріплений приклад, знайдений у версії 2.4.4

SNI-WireShark-contextFilter

— Том Сілвер
джерело

1

Для більш повного прикладу, ось команда показати SNI, які використовуються в нових з'єднаннях:

tshark -p -Tfields -e ssl.handshake.extensions_server_name \ 
    -Y 'ssl.handshake.extension.type == "server_name"'

(Це ваш Інтернет-провайдер може легко бачити у вашому трафіку.)

— санмай
джерело