识别客户端是否使用OpenSSL

HOWMP

whatssl

识别客户端是否使用OpenSSL,检测网站 https://whatssl.guage.cool:8443/

由于Python,PHP等都使用OpenSSL，也会这可以成为反爬的一个特征

原理

当tls密钥协商结束(ChangeCipherSpec)，开始进入加密通信后

如果使用AEAD算法(这也是推荐算法)

1. 那么使用sequence number(64bit)作为nonce
2. sequence number也会发送，作为Record数据的前8个字节
3. sequence number必须从0开始

由于OpenSSL的sequence number没有从0开始，导致其可以轻松被识别

https://www.rfc-editor.org/rfc/rfc5246#page-19

Each connection state contains a sequence number, which is
maintained separately for read and write states.  The sequence
number MUST be set to zero whenever a connection state is made the
active state.  Sequence numbers are of type uint64 and may not
exceed 2^64-1.  Sequence numbers do not wrap.  If a TLS
implementation would need to wrap a sequence number, it must
renegotiate instead.  A sequence number is incremented after each
record: specifically, the first record transmitted under a
particular connection state MUST use sequence number 0.

测试

Name	OpenSSL	Note
chrome	N	boringssl
powershell	N	schannel?
Java	N	JSSE
python	Y	OpenSSL
php	Y	OpenSSL
curl	Y	OpenSSL

powershell

Invoke-WebRequest https://whatssl.guage.cool:8443/ | Select -ExpandProperty Content

python

python -c "print(__import__('requests').get('https://whatssl.guage.cool:8443/').text)"

php

<?php
echo file_get_contents("https://whatssl.guage.cool:8443/");

curl

curl  https://whatssl.guage.cool:8443/

特征包见图



代码见: https://github.com/howmp/whatssl

sisiisthinking

有意思，感谢楼主分享。话说这个不符合 rfc 的行为是有什么用意吗？还是只是 openssl 实现上的缺陷。

顺便，要绕过的话可以去看看这俩项目：

https://github.com/lexiforest/curl_cffi?tab=readme-ov-file
https://github.com/jonatron/boringssl-python-cffi

BTFKM

https://github.com/lexiforest/curl_cffi 前排给出答案

[Asm] 纯文本查看 复制代码

from curl_cffi import requests
res = requests.get('https://whatssl.guage.cool:8443/', impersonate="chrome101")
print(res.text)

Knight23

学到了，能否细讲wireshark

三滑稽甲苯

如果自行编译一个从 0 开始的 openssl，是不是就无法检测了

abcduuz

这也能识别？

HOWMP

三滑稽甲苯 发表于 2024-10-2 14:27
如果自行编译一个从 0 开始的 openssl，是不是就无法检测了

是的，但openssl代码太乱了，我没找到应该改哪里

yuleniwo

ubuntu24.04下自带的firefox测试了下也是显示OpenSSL

jhonch

感谢分享

HOWMP

BTFKM 发表于 2024-10-15 09:40
https://github.com/lexiforest/curl_cffi 前排给出答案

[mw_shl_code=asm,true]from curl_cffi import  ...

curl_cffi依赖curl-impersonate，而curl-impersonate使用的BoringSSL，所以就检测到不是openssl

BTFKM

HOWMP 发表于 2024-10-15 10:40
curl_cffi依赖curl-impersonate，而curl-impersonate使用的BoringSSL，所以就检测到不是openssl

互联网代码这么多年了, 屎山已经搬不动了, 什么must不must的, must不了就是feature