Filtrar no campo Wireshark for Server Name Indication do TLS

9

O wireshark possui um filtro para o campo Indicação de nome de servidor do TLS?

wireshark

— palindrom
fonte

8

ssl.handshake.extensions_server_name

— Shawn E
fonte

6

Olá Shawn E. Embora isso possa responder à pergunta, você pode fornecer algumas explicações adicionais? Talvez isso seja útil para os outros.

— Nixda 21/01

7

A resposta de Shawn E é provavelmente a resposta correta, mas minha versão do wireshark não possui esse filtro. Os seguintes filtros existem, no entanto:

Para verificar se o campo SNI existe:

ssl.handshake.extension.type == 0

ou

ssl.handshake.extension.type == "server_name"

Para verificar se uma extensão contém determinado domínio:

ssl.handshake.extension.data contains "twitter.com"

— palindrom
fonte

2

aqui está o que funcionou para mim: #tls.handshake.extensions_server_name contains "twitter.com"

— Alexey Andronov

2

O Wireshark mais recente possui o menu de contexto R-Click com filtros.

Encontre o Client Hello com o SNI para o qual você gostaria de ver mais pacotes relacionados.

Faça uma busca detalhada nos detalhes do handshake / extension: server_name e clique com o botão direito do mouse em escolher Apply as Filter.

Veja o exemplo em anexo capturado na versão 2.4.4

SNI-WireShark-contextFilter

— Tom Silver
fonte

1

Para um exemplo mais completo, aqui está o comando para mostrar os SNIs usados em novas conexões:

tshark -p -Tfields -e ssl.handshake.extensions_server_name \ 
    -Y 'ssl.handshake.extension.type == "server_name"'

(É isso que o seu ISP pode ver facilmente no seu tráfego.)

— sanmai
fonte