手机双向验证 太干了，Android 抓包姿势总结！

手机双向验证 太干了，Android 抓包姿势总结！

本文作者：Buran（燃剑（）安全团队成员）

App服务器端测试与Web安全基本相同，但是如果无法抓到服务器包怎么办？ 哎~感觉好糟糕。 这是一份空报告吗？

‍

本文总结了一些比较有用的抓包姿势，但当然远不止这些。

‍

0x01 知识点总结

由于图片较多，浏览起来可能有点麻烦，所以这里对知识点做一个简单的总结。

0x02 绕过根检测

有些插件需要root才能使用，但一些安全措施比较好的应用会检测root环境，所以尽量绕过root检测。

建议模拟器和测试手机的版本在7以下，生态更好。

比较常见的是使用/插件绕过（模拟器中的应用商店也可以安装框架）

例如隐藏插件

框架也可以安装在环境中

mask框架带有一个可以打开绕过根检测的功能。

同时，还需要在具体抓包的应用程序中设置隐藏属性。

0x03 抓包

我就不多介绍了，先安装证书。

浏览器挂掉代理后，访问并下载证书

并将der、crt等格式的证书转换为pem格式

x509 - der -in test.cer -out test.pem （记得添加路径）

然后将其安装到您的手机上

设置>安全>从 SD 卡安装证书

并命名证书

查看受信任的凭据并在“用户”列中查看已安装的证书

爬取流量的成功运用

有一个插件叫Move，可以一键自动将所有用户证书转换为系统区域证书。

使用方法：将所有证书安装为用户证书后，安装此插件并重新启动。

以后链接各个软件时，需要注意保持各个软件之间的IP和端口一致。

0x04 绕过 SSL .1 什么是 SSL：

开发者在打包之前将证书相关信息预先设置到App中，以便App在https通信过程中可以在本地与服务器返回的CA证书验证有效性。 如果发现不一致，可能是由于中间人攻击（例如/抓包工具），App客户端可以终止https链接。在新版系统规则中，应用程序只信任系统默认预设的CA证书。 如果是第三方安装的证书（比如自己安装的），是不会信任的。

4.2 用一句话概括SSL的原理：

将服务器证书相关信息打包在客户端中，通信时比较客户端和服务器证书是否一致。

4.3 绕过SSL验证 4.3.1 插件

下载安装包并安装到手机上，激活并重启手机即可捕获手机流量。

2.0插件和外挂当然也是可以的

4.3.2 使用旁路

它是一个基于Frida开发的命令行工具。 它可以轻松Hook Java函数和类，并输出参数、调用堆栈和返回值。

因为它是基于Frida的，所以必须先安装Frida，然后再安装。

数据线连接手机后，打开调试模式（前提是PC有adb环境）

首先使用adb命令查看有多少个设备

将下载的frida-复制到您的手机

进入手机，升级到root权限，启动frida-

使用 frida-ps -U 命令检查。 下图为正常启动情况。

使用adb shell pm list在手机上查看包裹名称和数量

您需要关闭手机上的隐藏功能（不关闭会出现冲突）

使用命令：--包名

此时就会被注入到目标应用程序中

关闭应用程序的 SSL 验证：

上图为关闭成功，下图为抓包成功。

0x05 + 联动

是一款非常专业的http协议调试代理工具。 该软件支持许多http调试任务，包括捕获浏览器会话以及使用它捕获HTTPS会话。

使用联动捕捉流量

首先进行设置，进入HTTPS→解密HTTPS流量→操作→导出根证书到桌面

然后将 .pem 文件安装到您的手机中

可以看到，根证书已安装

那么你需要信任根证书

然后连接→监听端口，默认是8888

然后在手机上将网络IP设置为10.170.0.246，端口设置为8888

在网关→手动代理配置中，将代理设置为10.170.2.246:8080

IP和端口号要一致

成功接收转发流量

0x06 + 联动

是一种常用的网络数据包拦截工具。 通过将自身设置为系统的网络访问代理服务器，所有的网络访问请求都通过它完成，从而实现对网络数据包的拦截和分析。

可用于流量转发，配合联动抓包。

将证书保存到本地，选择help→SSL→Save

设置>安全>从 SD 卡安装证书

安装成功后如图

默认情况下，只能捕获http协议报文。 https更加安全，需要如下配置：

菜单栏Proxy–>SSL–>选择SSL–>点击add

在弹出的框中，端口填写443（443代表通用https端口号），host中的*代表从所有地址抓包。

第一次成功设置代理后，只要打开一个需要联网的应用程序，PC上就会自动弹出如下提示。 选择允许以允许代理。

需要并联动，需要添加额外的代理

菜单栏Proxy–>Proxy–>选择Use proxy