HTTPS 抓包分析实战：使用 Wireshark 解密 TLS 流量

HTTPS 已经成为现代 Web 的默认标准，TLS 加密保护了数据的机密性和完整性，但同时也给网络排查和故障定位带来了挑战。当你需要分析一个 API 请求为什么失败、响应为什么异常时，面对 Wireshark 中满屏的 “Application Data” 往往无从下手。本文将手把手带你使用 Wireshark 解密 TLS 流量，让 HTTPS 抓包分析不再困难。

为什么 Wireshark 默认看不到 HTTPS 明文

TLS 握手完成后，客户端和服务器之间传输的所有应用层数据都会被加密。Wireshark 抓到的只是加密后的字节流，协议列显示为 TLSv1.2 或 TLSv1.3，Info 列显示为 “Application Data”。要解密这些数据，Wireshark 需要拿到会话密钥（Session Key）或者服务器的私钥。

对于 TLS 1.2 及更早版本，如果使用 RSA 密钥交换，可以通过配置服务器私钥来解密。但现代 HTTPS 普遍使用 ECDHE（椭圆曲线迪菲-赫尔曼）密钥交换，具备前向安全性，服务器私钥无法直接解密历史流量。对于 TLS 1.3，所有密钥交换都具备前向安全性，私钥方式完全失效。

因此，目前最通用、最可靠的方法是使用 SSLKEYLOGFILE 机制——让客户端（浏览器或应用程序）将每次 TLS 会话的密钥导出到一个日志文件中，Wireshark 读取该文件后即可解密对应流量。

方法一：通过 SSLKEYLOGFILE 解密（推荐）

原理说明

SSLKEYLOGFILE 是 NSS（Network Security Services）和 OpenSSL 等库支持的环境变量。当设置该变量后，支持此机制的客户端会将 TLS 握手过程中生成的预主密钥（Pre-Master Secret）或主密钥（Master Secret）以特定格式写入文件。Wireshark 通过读取这些密钥，结合抓包数据中的随机数，即可推导出会话密钥并解密应用层数据。

步骤一：设置环境变量

Windows（以 Chrome 为例）：

1. 关闭所有 Chrome 窗口。
2. 创建目录 C:\sslkeys。
3. 以管理员身份打开命令提示符，执行：

   setx SSLKEYLOGFILE "C:\sslkeys\sslkey.log" /M
   

4. 重启 Chrome。

macOS / Linux（以 Firefox 为例）：

export SSLKEYLOGFILE=/tmp/sslkey.log
firefox &

对于 Chrome，在 macOS/Linux 下同样支持该环境变量，但需要从命令行启动：

SSLKEYLOGFILE=/tmp/sslkey.log google-chrome

步骤二：配置 Wireshark

1. 打开 Wireshark，进入 编辑 → 首选项 → Protocols → TLS。
2. 在 (Pre)-Master-Secret log filename 字段中，填入刚才设置的日志文件路径，例如 C:\sslkeys\sslkey.log。
3. 点击确定。

步骤三：抓包并验证

1. 在 Wireshark 中选择正确的网卡开始抓包。
2. 在浏览器中访问目标 HTTPS 网站，执行需要分析的操作。
3. 停止抓包，在显示过滤器中输入 http 或 tls。
4. 如果配置成功，原本显示为 “Application Data” 的 TLS 记录会被解密，Wireshark 会直接解析出 HTTP/2 或 HTTP/1.1 的请求和响应内容。

你可以在 TLS 握手包中看到 “Decrypted TLS” 的标记，说明解密成功。

方法二：使用服务器私钥解密（仅限 RSA 密钥交换）

如果目标服务器仍在使用 RSA 密钥交换（非 ECDHE），可以配置服务器私钥进行解密。

1. 获取服务器的私钥文件（PEM 格式）。
2. 在 Wireshark 的 TLS 协议首选项中，在 RSA keys list 里添加：
   • IP 地址：服务器 IP
   • 端口：443
   • 协议：http
   • 密钥文件：选择私钥 PEM 文件
3. 重新加载抓包文件，Wireshark 会自动解密。

注意：TLS 1.3 和 ECDHE 密钥交换下此方法无效。你可以通过 TLS 握手包中的 Server Key Exchange 消息判断密钥交换算法。

方法三：针对移动端 App 的解密

移动端 App 通常使用 OkHttp、NSURLSession 等网络库，部分支持 SSLKEYLOGFILE，但多数不直接支持。常见方案包括：

• Android：使用 Frida 等 Hook 框架，Hook SSL_write/SSL_read 或 BoringSSL 的密钥导出函数，将密钥写入文件。
• iOS：使用 Frida 或 SSL Kill Switch 等工具，配合越狱设备导出密钥。
• 通用方案：在测试环境中使用中间人代理（如 mitmproxy、Charles），由代理生成自己的证书，App 信任代理证书后即可查看明文。但需注意证书绑定（Certificate Pinning）的绕过问题。

实战分析示例

假设我们已成功解密一个 HTTPS 请求，在 Wireshark 中可以看到：

1. TCP 三次握手：确认连接建立正常。
2. TLS Client Hello：查看客户端支持的 TLS 版本、密码套件、SNI 扩展。
3. TLS Server Hello：查看服务器选择的密码套件和证书。
4. 解密后的 HTTP 请求：查看请求方法、URL、Headers、Body。
5. 解密后的 HTTP 响应：查看状态码、响应头、响应体。

通过对比请求和响应的时间戳，可以精确计算服务器处理耗时；通过分析 TLS 握手阶段的耗时，可以判断是网络延迟还是服务器性能问题。

常见问题与注意事项

• 密钥文件为空：确认客户端确实支持 SSLKEYLOGFILE，且环境变量在启动客户端前已生效。Chrome 在 Windows 下需要完全退出后重新启动。
• 只能解密部分流量：SSLKEYLOGFILE 只记录本机客户端的密钥，无法解密其他机器的流量。如果抓包位置在客户端本机，通常可以解密；如果在网关或服务器侧抓包，则无法使用此方法。
• TLS 1.3 的特殊性：TLS 1.3 的握手过程加密了更多信息，但 SSLKEYLOGFILE 机制同样适用，Wireshark 3.0 以上版本支持良好。
• 法律与合规：解密 TLS 流量仅应在你拥有或获得明确授权的网络和系统上进行。未经授权拦截他人加密通信可能违反法律法规。

总结

Wireshark 配合 SSLKEYLOGFILE 是目前最实用的 HTTPS 解密方案，适用于绝大多数开发和测试场景。核心步骤只有三步：设置环境变量、配置 Wireshark、抓包验证。掌握这一技能后，你可以深入分析 HTTPS 应用的性能瓶颈、调试 API 交互问题、排查 TLS 握手失败原因，让加密流量不再成为网络分析的盲区。

未经允许不得转载：任鹏个人博客 » HTTPS 抓包分析实战：使用 Wireshark 解密 TLS 流量