Live HTTP Headers: sniffare ed analizzare il traffico HTTP

In un precedente articolo vi ho parlato di come sia possibile effettuare una richiesta POST verso un sito Web utilizzando Java, con il meccanismo dei Socket. Il metodo che vi avevo illustrato si basava principalmente sull’analisi del form presente nella pagina Web che normalmente si occupa dell’invio dei dati. Quindi successivamente in Java, si inviavano i dati al Server Web sostituendosi al Browser ed inviando gli stessi dati che il form avrebbe inviato.

Il problema, o la limitazione principale di questa tecnica, è che non tiene conto di altri eventuali dati che il Browser potrebbe inviare al Server Web. Ad esempio, il Browser quando invia qualsiasi richiesta GET o POST invia anche un identificativo di esso, tramite il parametro User-Agent. Il Server Web che riceve una richiesta GET o POST, potrebbe analizzare i dati che riceve, e non accettare tutte le richieste dove questo parametro non è impostato. Da notare che questo parametro non compare assolutamente nel codice HTTP della pagina.

Il parametro User-Agent non è l’unico utilizzato dai Server Web per scartare richieste non provenienti da Browser comuni. Esistono molti altri parametri, che possono essere utilizzati a tale scopo. In questo articolo, utilizziamo Live HTTP Headers per sniffare tutto il traffico HTTP da e verso il Server Web, per capire quindi come configurare nel migliore dei modi il programma Java visto nel precedente articolo.

Live HTTP Headers è un plug-in per Firefox che permette di monitorare tutte le richieste che il Browser fa al Server Web, e tutte le risposte inviate da esso. In questo modo, è possibile visualizzare esattamente una richiesta POST inviata verso il Server, e quindi riprodurla fedelmente in Java. Nel seguito, vediamo come ci si dovrebbe comportare nel caso in cui si volesse riprodurre in Java un meccanismo di login presso un Sito Web, simile, ma più potente, a quello visto nel precedente articolo.

Login su Facebook

Per realizzare questo esempio ho preso come cavia il sito Web più conosciuto al mondo, Facebook. Il meccanismo di login di Facebook è molto semplice, e del tutto analogo a molti altri metodi utilizzati dalla maggior parte dei siti web.

Come prima analisi del sito, si può visualizzare il codice HTML ed individuare il form che effettua il login. Questo passaggio sarà successivamente reso superfluo dall’uso di Live HTTP Headers, però è comunque interessante capire come realizzano alcune tecniche. Di seguito, potete vedere la porzione di codice HTML dove viene costruito il form dell’immagine precedente.

Una volta fatta una prima analisi della pagina Web, e di come il form invia i dati al Server, vediamo di iniziare ad imparare ad usare Live HTTP Header. Innanzitutto, bisogna scaricare ed installare il plug-in per Firefox, da link apposito: Live HTTP Headers Download. Una volta installato, il plug-in sarà disponibile dal meù Strumenti.

Una nota molto importante, è che una volta avviato il plug-in, questo visualizzerà tutte le richieste HTTP che al momento Firefox sta effettuando. Quindi abbiate l’accortezza di posizionarvi sulla pagina che volete monitorare, farla caricare completamente, e solo dopo avviare il plug-in. Infatti, come potete vedere dall’immagine seguente, il plug-in è avviato, ma non sta ancora intercettando nulla.

Una volta avviato il plug-in, potete inserire i vostri dati all’interno del form, e successivamente effettuare il login, come fate di solito. Adesso, potete vedere Live HTTP Headers popolarsi di numerose linee di codice, che rappresentano semplicemente le richieste e le risposte che il Browser fa e riceve dal Server Web. Per individuare quale è la richiesta contenente i dati del form, che quindi vi permette di effettuare il login, dovete semplicemente ricercare la prima richiesta POST che è stata effettuata.

Come potete vedere dall’immagine precedente, la richiesta POST è molto più complessa di quella vista e realizzata in Java nel precedente articolo. In questa richiesta infatti, sono presenti molti campi impostati dal Browser e non dal form HTML, che quindi solo in questo modo potete visualizzare. L’ultima riga della richiesta POST, sono invece i dati inviati tramite il form HTML al Server Web, che dipendono esclusivamente ed interamente da come il form è stato implementato.

In quest’altra immagine, ci tengo a farvi vedere che nonostante la vostra password non sia visibile nella casella di testo relativa ad essa e nemmeno nell’URL della pagina, viene comunque inviata al Server Web in chiaro. Quindi semplicemente sniffando le richieste HTTP di un Browser, sarà possibile visualizzare tutte le informazioni trasmesse, soprattutto le password.

Di seguito trovate il codice della richiesta POST per intero, che potete usare per semplice curiosità, o per provare ad implementare una richiesta POST in Java leggermente più completa.

Spero che questo semplice esempio sia utile a molti di voi, e preciso che non è stato realizzato con secondi fini e non è stato scelto il sito di Facebook a caso. Facebook infatti impone molti ulteriori controlli quando si tenta di effettuare il login, che rende quindi impraticabile la realizzazione in Java di un programma apposito. Per effettuare un login su Facebook, ma anche molte altre operazioni, sono disponibili API che consentono di usare molti degli strumenti di Facebook in modo molto semplice e soprattutto consentito.