電子發(fā)燒友App
以下抓包測試請確保手機和電腦是處于同一個局域網(wǎng)下
?
1、使用 Burpsuite 對 APP 進行抓包
環(huán)境：
Burpsuite Professional v2021.2
Pixel3 Android11 、已 root + Xposed
在 Burpsuite 里面 Proxy — Options — Proxy Listeners — Add然后在Speciffic address選擇172網(wǎng)段的那個 IP 地址（即本機局域網(wǎng) IP 地址）
在手機里面網(wǎng)絡設置也要設置 手動代理模式 ，輸入的 IP和端口 都要與 Burpsuite 一樣
然后在手機瀏覽器訪問 https://burp 這個地址，去進行下載并安裝 burp 證書，因為抓取 HTTPS 流量是需要證書的，點擊 CA Certificate 即可進行下載
下載之后要對證書文件后綴名進行更改，因為手機是無法打開 .der 后綴的文件，所以要吧 .der 改為 .cer ，然后再進行安裝證書
那么安裝之后就可以進行抓取 APP 數(shù)據(jù)包了
2、使用 Fiddler 對 APP 進行抓包
環(huán)境：
Fiddler v5.0.20204.45441
Pixel3 Android11 、已 root + Xposed
1、在 Fiddler 里面 Tools — Options
2、在 options 彈框中切換至 HTTPS ，勾選圖中標記的 2 個選項并點擊 OK
3、勾選后會彈出安裝證書的提示，根據(jù)提示一直點擊 是 即可安裝成功4、接著在Tools — Options — Connections，端口寫 9999（可隨意更改），并勾選 Allow remote computers to connect ，點擊 OK
5、重啟 Fiddler （ 修改fiddler配置要重啟后才能生效 ）6、修改手機網(wǎng)絡設置
7、在瀏覽器訪問上面設置的 IP 地址和端口號，我這里是 172.20.10.5:9999（這里要根據(jù)實際情況），然后 FiddlerRoot certificate 進行下載證書，并自行安裝
那么安裝之后就可以進行抓取 APP 數(shù)據(jù)包了
3、使用 Burpsuite + Fiddler 進行對 APP 進行抓包
配置 Burpsuite 使用的代理監(jiān)聽是 127.0.0.1:8080
在 Fiddler 里面 Tools — Options — Gateway 配置的代理監(jiān)聽是 127.0.0.1:8080（這里的配置與 Burpsuite 代理一致）
接著在 Tools — Options — Connections ，端口寫 9999（可隨意更改)，并勾選 Allow remote computers to connect ，點擊 OK
修改手機網(wǎng)絡設置
也就是說從手機的流量經(jīng)過 Fiddler 進行轉發(fā)到Burpsuite
4、使用小黃鳥 HttpCanary 對 APP 進行抓包
環(huán)境：
HttpCanary v3.3.6
Pixel3 Android11 、已 root + Xposed首先安裝 HttpCanary APP 應用
?
?
HttpCanary 支持 HTTP/HTTPS/HTTP2 網(wǎng)絡數(shù)據(jù)包的抓取和分析，其實和 Charles 類似，要抓取 HTTPS 需要使用 MITM 中間技術對 TLS/SSL 數(shù)據(jù)包進行解密以及明文輸出，因此需要安裝自簽的 CA 證書
?
這里要提一下 Android 系統(tǒng)默認對證書信任證書的問題
因為我的 Pixel3 手機是已經(jīng) root 了，而且是 Android11 系統(tǒng)，在安卓 7.0 之前系統(tǒng)，直接下載證書裝入即可，安卓 7.0 及以上系統(tǒng)對于證書的安全策略做了修改，意味著，從 sdcard 安裝用戶級 CA 將無法攔截應用流量。我們需要將證書命名為計算出的哈希值后綴 .0 或者直接在手機里面的 用戶憑據(jù) 可以看到后綴 .0的證書文件 名字，然后導入到根證書目錄：/system/etc/security/cacerts 讓系統(tǒng)默認可信任。因此安裝證書的方式也有所不同，默認它是安裝在用戶那里的。
首先按照我下面的圖順序進行安裝證書
?
?
?
先導出 HttpCanary根 證書文件 .pem
?
點擊它，即可完成安裝證書
?
那么這里就看到它是安裝在用戶那里的，但是由于我的設備是已經(jīng) root 了，要把這個證書安裝在 系統(tǒng) 那里才能進行抓取 HTTPS 流量
那么這時就需要把證書的文件移動到系統(tǒng)目錄下就可以了，這里選擇導出 System Trusted(.0)
?
那么就把證書進行移動到系統(tǒng)證書目錄 /etc/security/cacerts/
?
在 Android 10 以及以上安裝證書到 /system/etc/security/cacerts/會出現(xiàn) system 無法寫入使用 mount 報錯如下：
?
?
'/system' not in /proc/mounts '/dev/block/dm-4' is read-only
?
?
由于 Android 10 采用了某些安全策略，將系統(tǒng)分區(qū) /system掛載為只讀，就算你 root 了也沒用，無法寫入系統(tǒng)分區(qū)也就無法導入系統(tǒng)證書，在使用 HTTPCanary 這樣的軟件抓包分析的時候，很多 app 只認系統(tǒng)證書，不認用戶證書遇見此類情況有兩種方式解決：1、在 Magisk 里面安裝 `Move Certificates模塊`[1]，該插件可以一鍵將所有用戶證書自動轉換為系統(tǒng)區(qū)證書
使用方法：所有證書安裝為用戶證書后，安裝此插件，并重啟。
?
2、創(chuàng)建一個新的掛載點來覆蓋 這種方式是內存覆蓋的方式所以手機重啟后失效。（想要持久化需考慮搞一個開機啟動服務）
?
?
#?創(chuàng)建一個臨時目錄，保存當前證書 mkdir?/sdcard/tmp/ #?復制現(xiàn)有證書到臨時目錄 cp?/system/etc/security/cacerts/*?/sdcard/tmp/ #?創(chuàng)建內存掛載 mount?-t?tmpfs?tmpfs?/system/etc/security/cacerts #?將現(xiàn)有證書復制回?tmpfs?掛載 mv?/sdcard/tmp/*?/system/etc/security/cacerts/ #?更新?perms?和?selinux chown?root:root?/system/etc/security/cacerts/* chmod?644?/system/etc/security/cacerts/* chcon?usystem_file:s0?/system/etc/security/cacerts/*
?
?
再進來這個看證書的界面就已經(jīng)看到已經(jīng)把 用戶 的證書安裝在 系統(tǒng) 那里了
?
雖然 HttpCanary 是一個很不錯的抓包工具，但是它并不能跟其他抓包工具進行一個聯(lián)動轉發(fā)抓包，所以當滲透測試人員在使用它進行抓包之后，可以直接在手機上進行修改數(shù)據(jù)包進行測試，但是可能在手機上工作效率沒那么高，于是就把要測試的數(shù)據(jù)包復制出來到 Burpsuite 上進行修改并發(fā)包，這個過程也會浪費很多時間。
下面是 HttpCanary 的工作原理
HttpCanary 采用 VPN 的方式將網(wǎng)絡包轉發(fā)給本地代理服務器，本地代理服務器將數(shù)據(jù)包轉發(fā)虛擬網(wǎng)關，由虛擬網(wǎng)關進行不同策略地攔截和協(xié)議解析，最后再將數(shù)據(jù)發(fā)送給終端
最重要的一層就是虛擬網(wǎng)關 Virtual Gateway ，需要對協(xié)議進行鑒定解析等等，包括數(shù)據(jù)包的攔截注入都是在這一層處理的，比如 HTTPS 的中間人（MITM)解析出明文包等
因此從上圖觀察它的工作原理進行分析之后，讓我尋找到另一種方式抓包（它的工作方式也和 HttpCanary 有點相似 ）可以用它來代替 HttpCanary —— Postern + Charles + Burpsuite組合，至于怎樣操作，可以在文章下面 7、使用Postern + Charles + Burpsuite進行對APP進行抓包 進行詳細閱讀
5、使用 Charles 對 APP 進行抓包
環(huán)境：
Charles v4.6.2
Pixel3 Android11 、已 root + Xposedcharles 是一款非常優(yōu)秀的抓包工具，全平臺支持，在 mac，windows，linux 上都可以使用，既可以抓取 web 端的包，也可以抓 app 端的包charles 主要的功能包括如下幾點：
截取 Http 和 Https 網(wǎng)絡封包。
支持重發(fā)網(wǎng)絡請求，方便后端調試。
支持修改網(wǎng)絡請求參數(shù)。
支持網(wǎng)絡請求的截獲并動態(tài)修改。
支持模擬慢速網(wǎng)絡。
代理服務器的工作原理如下所示：
客戶端發(fā)起請求，請求通過 charles 轉發(fā)給服務器，服務器返回響應，響應通過 charles 轉發(fā)給客戶端。
charles 所起的作用就相當于信使，把信息從 A 傳遞給 B，并且把回信從 B 傳遞給 A，正因為他這個信使的工作，所以他對信息的內容了如指掌(不管是原信還是回信)，正因為如此，charles 也就可以篡改信息的內容，即篡改請求和響應。
Charles 下載地址：
https://www.charlesproxy.com/download/
然后自行安裝之后，要對它進行激活
注冊碼生成地址：
https://www.zzzmode.com/mytools/charles/
激活 Charles在 Help->Registered 輸入 key 和生成的激活碼即可
?
設置代理，在 Proxy — Proxy Settings ( 注意：此時我的Windows Proxy是去掉對勾的，因為這里我是想在PC端抓手機端的包，所以沒必要打開電腦的本地代理 )
填入代理端口 8888（或者自定義，但不能和系統(tǒng)已占用端口沖突），并且勾上 Support HTTP/2 和 Enable transparent HTTP proxying ，點擊右下角 OK 即可
然后分別在 PC 端和手機端安裝證書選擇 Help — SSL Proxying — Install Charles Root Certificate 就可以下載安裝上 PC 端了
?
證書存儲選擇 受信任的根證書頒發(fā)機構
接下來再給手機端安裝證書，步驟如下：選擇 Help — SSL Proxying — Install Charles Root Certificate on a Mobile Device or Remote Browser
點擊后會彈出窗口提示設置的方法，按照提示在手機端將代理設置為電腦的 ip:8888（ 我這里是192.168.1.251:8888 ），這里要先確保手機和電腦連接同一個無線網(wǎng)絡 。然后在手機的瀏覽器打開 http://chls.pro/ssl ，按提示下載證書即可。
?
如果 Charles 有彈出提示，一定要點擊 Allow
首先按照我下面的圖順序進行安裝證書
?
?
?
?
找到選擇剛剛下載的證書文件，點擊即可完成安裝
它也是安裝在 用戶 那里，但是由于我的設備是已經(jīng) root 了，要把這個證書安裝在 系統(tǒng) 那里才能進行抓取 HTTPS 流量
但是移動證書的前提要知道證書安裝之后的證書文件是被命名為什么，于是可以在 用戶憑據(jù) 這里可以看到
文件為 b905ae73.0 ，它目前是在用戶目錄下 /data/misc/user/0/cacerts-added/
?
然后把它復制到 /etc/security/cacerts/ 系統(tǒng)目錄下
?
?
HTTPS 解析
然后在 Proxy — SSL Proxying Settings 進行 SSL Proxying Settings 設置勾選 enable SSL Proxying 復選框代表開啟 SSL Proxying 代理，并在 include 欄中添加域名和端口號。include 中的列表項代表 Charles 能夠展示這些域名的 SSL 請求和響應的明文。
并且說明中也提示了我們 Charles 要想使用 SSL Proxying 代理，需要進行 SSL Certificates，即證書簽名。這個我們在上面已經(jīng)完成了。
Stop SSL Proxying 按鈕可以控制 SSL 代理的開關。（必須要開啟SSL Proxying）
到此，PC 端的設置都已經(jīng)配置好了，然后就能進行抓包了
6、使用 Charles + Burpsuite 進行對 APP 進行抓包
選擇勾選 Proxy — External Proxy Settings 就是要將 Charles 作為手機端的代理，再由 Charles 將包轉發(fā)給 burpsuite，所以對于 Charles 來說，burpsuite 就成了一個 External Proxy Server —— 外部代理服務器
勾選 HTTP 和 HTTPS 代理，這里 HTTP 和 HTTPS 的代理服務器地址都是 127.0.0.1:8080（這里的配置與 Burpsuite 代理一致）
已經(jīng)設置了外部代理了，就必須打開 burp（當然了主要是要打開 burp 中對 127.0.0.1:8080 的監(jiān)聽），否則就會出現(xiàn) 連不上網(wǎng)了 的現(xiàn)象。在 burp 的菜單欄中的 Proxy 選項下的 Options 中打開 127.0.0.1:8080 的代理監(jiān)聽（默認應該是已經(jīng)打開的），在 Intercept 中關閉請求攔截。
完成上面的配置步驟后，從手機上打開瀏覽器搜索內容，應該已經(jīng)可以在 Charles 窗口左側的列表中找到想抓的包，并且也可以看到數(shù)據(jù)包從 Charles 轉發(fā)到 Burpsuite 了
7、使用 Postern + Charles + Burpsuite 進行對 APP 進行抓包
在實際抓手機 App 包場景中，有很多種方案，經(jīng)典的就是 Fiddler 、 Burpsuite ，但是 Fiddler 、 Burpsuite 會遇到一個問題，如果 App 為了防止中間人抓包，特意設置了不走代理這個選項，那單獨直接用 Fiddler 、 Burpsuite 這些抓包工具就不能抓包的，那總不可能說不能抓包就認為目標系統(tǒng)很安全吧？為了抓到完整的包，于是就衍生出 Postern + Charles 這個組合，是因為 Charles 沒有直接監(jiān)聽到 App，Charles 是監(jiān)聽到了 Postern 上，Postern 就是一個VPN ，所以 App 設置不走代理也沒用，它是通過 VPN 將所有流量轉發(fā)到 Charles 的 socks 代理，再打開 Charles 的 External Proxy Server — （外部代理服務器）轉發(fā)到 Burpsuite，從而實施中間人抓包
環(huán)境：
Postern 3.1.3
Charles v4.6.2
Burpsuite Professional v2021.2
Pixel3 Android11 、已 root + Xposed
先配置 Charles
在 Proxy — Proxy Settings ，勾選 Enable SOCKS proxy 進行設置 SOCKS 代理（按照下圖的操作），端口號我這里設置 16666（或者自定義，但不能和系統(tǒng)已占用端口沖突）
配置代理
添加代理服務器
?
點擊保存
配置規(guī)則
添加規(guī)則
按照下圖進行操作并點擊保存
?
打開/關閉 Postern
那么只要上面的 使用Charles + Burpsuite進行對APP進行抓包 設置好之后，打開你想要抓的目標 APP 就可以看到數(shù)據(jù)包已經(jīng)轉發(fā)到 Burpsuite 了
但是如果遇到某些比較敏感的 APP，檢測 root 的話，可以參考下面的兩篇文章進行設置
隱藏 Root - Zygisk 版面具 Magisk 過銀行 App 等 Root 檢測，Shamiko 模塊的妙用[2]
magisk 安裝與配置[3]
Charles 和 Fiddler 的比較
Fiddler 雖然也可以完成對手機的抓包，但是如果 App 設置了不走代理，那 Fiddler 就失敗了，并且 Fiddler 每次都需要手動修改網(wǎng)絡設置的代理，但是 Charles 與 Postern 聯(lián)動配合就不需要手動修改網(wǎng)絡設置，只需要配置好 Postern 和 Charles 的連接就可以了，并且可以對絕大部分的 App 進行抓包，不使用代理時，直接關閉 Postern 即可
目前來說，F(xiàn)iddler 和 Charles 都是很流行的，但是相對來說，還是 Postern + Charles 適用范圍更廣一些。
8、使用 Frida + Xposed + Objection + Burpsuite 進行對 APP 進行抓包
SSL 證書綁定
什么是證書綁定呢？其實網(wǎng)上叫法蠻多的，SSL 證書綁定、英文名字：SSL Pinning 或者證書檢驗?？傊疅o論怎么叫都是檢驗證書是否可信任。我們知道從 HTTP 到 HTTPS 數(shù)據(jù)在傳輸過程中添加了一層 SSL/TLS，讓我們數(shù)據(jù)流量處于加密狀態(tài)，不再是明文可見。這時候便有了 CA 證書。
我們在抓取 HTTPS 數(shù)據(jù)包得時候，做的就是利用假的 CA 證書，來實現(xiàn)中間人劫持數(shù)據(jù)。一旦 app 校驗了證書的指紋信息。我們的證書不再受信任了。自然而然就無法建立連接，所以必須想辦法讓 app 信任，才能繼續(xù)抓包。當然這個分為兩種情況：
（1）單項校驗-客戶端校驗服務端的證書。
（2）雙向認證-客戶端不僅僅要校驗服務端的證書，也會在 app 內放一張證書；服務端也會檢驗客戶端里的證書。
單向校驗
Android 系統(tǒng)中已經(jīng)提供了檢驗證書的 api，我們只需要實現(xiàn) checkClientTrusted 、 checkServerTrusted 、 verify 等方法即可。
這類的對抗需要我們將這些函數(shù)的校驗進行置空，默認信任所有證書即可。
使用 Xposed + JustTruestMe 來突破 SSL Pinning
Xposed 是一個框架，它可以改變系統(tǒng)和應用程序的行為，而不接觸任何 APK。它支持很多模塊，每個模塊可以用來幫助實現(xiàn)不同的功能。JustTrustMe 是一個用來禁用、繞過 SSL 證書檢查的基于 Xposed 模塊。JustTrustMe 是將 APK 中所有用于校驗 SSL 證書的 API 都進行了 Hook，從而繞過證書檢查。
環(huán)境：
Pixel3 Android11 、已 root + Xposed
SSLUnpinning 2.0 插件
JustMePlush 插件
Frida-server-15.1.27-android-arm64
PC 端的 Frida v15.1.27
Objection v1.11.0
首先下載 Xposed 框架插件 SSLUnpinning + JustTrustMe ， SSLUnpinning 插件可以直接在 Xposed 商店下載，而 JustTrustMe[4] 插件需要到下面的 GitHub 鏈接自行下載
我這里就使用 SSLUnpinning 2.0 插件和 JustMePlush 插件，效果都是一樣的，插件安裝完之后，記得啟動插件，然后 重啟手機 后插件才能生效
然后使用 Objection 進行繞過
Objection 是一款基于 frida 的 hook 框架，由于 frida 需要我們自己編寫腳本，使用比較麻煩，objection 內置了在安卓和 IOS 逆向中常用的一些 hook 腳本，我們通過簡單的命令行就可以進行 hook 動態(tài)篡改，非常方便
因為 Objection 是基于 Frida 的所以必須先安裝 Frida 然后才能安裝 Objection
pip3 install objection
按照上面的操作進行部署 Frida 環(huán)境之后，就啟動 Frida服務端程序
接著用 Objection 注入到目標 APP 應用程序上
objection -g 包名 explore
如果不知道 APP 包名，可以用以下命令進行查看，但是依然前提要啟動了 Frida服務端程序
frida-ps -Ua
然后輸入關閉 APP 的 SSL 校驗命令
android sslpinning disable
并在手機里面網(wǎng)絡設置也要設置手動代理模式，輸入的 IP 和端口都要與 Burpsuite 一樣
?
即可完成繞過 SSL Pinning 進行抓包
如果出現(xiàn)還是依然無法繞過 SSL Pinning 的情況，可以參考下面兩篇文章
Android 抓包總結[5]
[Frida.Android.Practice (ssl unpinning)](https://github.com/WooyunDota/DroidDrops/blob/master/2018/Frida.Android.Practice.md "Frida.Android.Practice (ssl unpinning "Frida.Android.Practice (ssl unpinning)")")
雙向校驗
APP 除了校驗服務端的證書，服務端還會檢驗 APP 的證書。HTTPS 雙向證書校驗在實際中幾乎很少用到，因為服務器端需要維護所有客戶端的證書，這無疑增加了很多消耗，因此大部分廠商選擇使用單向證書綁定。對抗雙向認證需要完成兩個環(huán)節(jié)：
（1）讓客戶端認為 burp 是服務端 ，這一步其實就是破解 SSL pinning，方法和上述過程完全相同。
（2）讓服務端認為 burp 是客戶端 ，這一步需要導入客戶端的證書到 burp，客戶端的證書一定會存在本地代碼中，而且還可能會有密碼，這種情況下需要逆向客戶端 app，找到證書和密碼，并轉為 pkcs12 格式導入到 burp。User options -> SSL -> Client SSL Certificate。
?
?
雙向校驗的app 案例： https://www.wandoujia.com/apps/8280413
?
?
通常情況下應用會將證書放置在資源目錄 app/asset下，后綴名為 p12 、 pfx的文件。當然也可能會偽裝成其他文件，例如圖片文件等。
怎么找到證書密碼呢？一般要么逆向分析找到密碼，要么通過 hook api java.security.KeyStore 使密碼自吐。
（1）Jadx 中搜索證書的名字、或者證書鏈 x509certificate 分析定位到關鍵位置。
（2）服務器對客戶端進行校驗過程中，客戶端將證書公鑰發(fā)送給服務器，以及從服務器獲取 session 和私鑰解密過程中，需要 API 進行操作，API 存在于 java 層框架內，所以 hook 框架層代碼 java.security.KeyStore，使密碼自吐。這里下圖的案例 APK 解壓之后在 assets 目錄下有一個 client.p12 的證書文件，但是不知道它的密碼，因此要使用 Frida 對目標 APP 進行 hook，讓它密碼自吐。
注意：.p12后綴的證書文件是由 .crt證書和 key 文件合并成.p12證書文件，并且在合并生成 .p12 文件的時候必須對證書進行加密（也就是加個證書密碼），不加密碼 Burpsuite 是無法導入的
?
function?hook_KeyStore_load()?{
????Java.perform(function?()?{
????????var?StringClass?=?Java.use("java.lang.String");
????????var?KeyStore?=?Java.use("java.security.KeyStore");
????????KeyStore.load.overload('java.security.KeyStore$LoadStoreParameter').implementation?=?function?(arg0)?{
????????????console.log(Java.use("android.util.Log").getStackTraceString(Java.use("java.lang.Throwable").$new()));
????????????console.log("KeyStore.load1:",?arg0);
????????????this.load(arg0);
????????};
????????KeyStore.load.overload('java.io.InputStream',?'[C').implementation?=?function?(arg0,?arg1)?{
????????????console.log(Java.use("android.util.Log").getStackTraceString(Java.use("java.lang.Throwable").$new()));
????????????console.log("KeyStore.load2:",?arg0,?arg1???StringClass.$new(arg1)?:?null);
????????????this.load(arg0,?arg1);
????????};
????????console.log("hook_KeyStore_load...");
????});
}
setImmediate(hook_KeyStore_load)
?
?
腳本可以在大佬博客這里復制，并命名為 ssl.js（可自定義） 抓包之服務器校驗客戶端證書[6]
執(zhí)行下面的命令
frida -U -f APP 包名 -l ssl.js --no-pause
可以發(fā)現(xiàn)我們通過 hook 框架層代碼得到了 client.p12證書密碼為 111111，然后在 Burpsuite 里面選擇 User options — TLS — Client TLS Certificates — Add 進行導入證書，Destination host寫*進行匹配所有地址，證書類型選擇File（PKCS#12），然后選擇Next
加載 assets 目錄下的 client.p12 證書文件，和輸入上面 hook 出的密碼 111111
?
導入證書之后，就可以正常的抓包了，可以看下面的圖，下面的 403 是沒導入證書的時候，它就不允許你抓包訪問，上面的 200 是我導入證書之后，就可以正常抓包了
還有就是在某些特殊場景 web頁面 或者 APP 需要在 PC 電腦端安裝證書才能進行訪問抓包的，那么就要根據(jù)實際情況去操作
9、使用 Frida 寫 Hook 代碼來進行對 APP 模擬抓包
環(huán)境：
夜神模擬器 32 位 Android7.1.2 已 root
Frida-server-15.1.27-android-x86
PC 端的 Frida v15.1.27
Objection v1.11.0
使用 Charles 抓不到包怎么辦呢，我們有 Frida，可以通過 frida 來 hook 住 APP 構造網(wǎng)絡請求和接收數(shù)據(jù)地方的代碼，然后打印出來請求和返回數(shù)據(jù)，這樣 APP 向服務器進行的網(wǎng)絡請求和接收的數(shù)據(jù)便一覽無余了。
一般網(wǎng)絡請求和接收數(shù)據(jù)的代碼都會寫在一個類中，我們只要找到一個點來追蹤去找到這個類就可以了。
在大佬的 Github 項目里面找到一個Frida 實現(xiàn)攔截 okhttp 的腳本[7]
它的工作原理就是：
由于所有使用的 okhttp 框架的 App 發(fā)出的請求都是通過RealCall.java發(fā)出的，那么我們可以 hook 此類拿到 Request 和 Response, 也可以緩存下來每一個請求的 call 對象，進行再次請求，所以選擇了此處進行 hook。find 前新增 check，根據(jù)特征類尋找是否使用了 okhttp3 庫，如果沒有特征類，則說明沒有使用 okhttp; 找到特征類，說明使用了 okhttp 的庫，并打印出是否被混淆。 這里我使用了真機進行測試，遇到下面的報錯，應該是有檢測到我真機的一些環(huán)境原因吧，因此我就使用了夜神模擬器進行下面的操作
首先將 okhttpfind.dex 拷貝到 /data/local/tmp/ 目錄下，并賦予權限
adb push okhttpfind.dex /data/local/tmp/
chmod 777 okhttpfind.dex
然后啟動Frida服務端程序
接著執(zhí)行命令啟動 hook 腳本
frida -U -l okhttp_poker.js -f APP 包名 --no-pause
如果有需要可追加參數(shù) -o [output filepath] 保存到文件
okHttp 的 app 案例[8]
?
然后復制被混淆后的類名（上圖紅色框圈住的內容），粘貼到 okhttp_poker.js 文件中（如下圖），并進行保存，F(xiàn)rida 會自動實時識別更新后的腳本內容執(zhí)行相關操作
然后運行 hold() 命令開啟 hook 攔截，然后操作 App 后，會出現(xiàn)攔截的內容如下：
如果想對 okHTTP 進行深入的研究可以前往這篇大佬的文章進行閱讀 [原創(chuàng)] 如何實現(xiàn) Https 攔截進行 非常規(guī)“抓包”（20.9.13-代碼更新）[9]
總結
整理了以上九種不同的抓包方式其實是可以應對目前市面上各大的 APP 抓包場景，當然抓包的方式肯定不只這九種，比如還有肉絲大佬 `r0ysue` 的安卓應用層抓包通殺腳本[10]，有興趣的大佬可以去嘗試一下。其實能多掌握一些抓包的技巧，也許能夠在測試的過程中發(fā)現(xiàn)更多意想不到的新技術。
編輯：黃飛
?
工商網(wǎng)監(jiān)
評論