移動安全之APP各種抓包教程詳解

以下抓包測試請確保手機和電腦是處于同一個局域網下

1、使用 Burpsuite 對 APP 進行抓包

環境：

Burpsuite Professional v2021.2

Pixel3 Android11 、已 root + Xposed

在 Burpsuite 里面 Proxy — Options — Proxy Listeners — Add然后在Speciffic address選擇172網段的那個 IP 地址（即本機局域網 IP 地址）

在手機里面網絡設置也要設置手動代理模式，輸入的 IP和端口都要與 Burpsuite 一樣

然后在手機瀏覽器訪問 https://burp 這個地址，去進行下載并安裝 burp 證書，因為抓取 HTTPS 流量是需要證書的，點擊 CA Certificate 即可進行下載

下載之后要對證書文件后綴名進行更改，因為手機是無法打開 .der 后綴的文件，所以要吧 .der 改為 .cer ，然后再進行安裝證書

那么安裝之后就可以進行抓取 APP 數據包了

2、使用 Fiddler 對 APP 進行抓包

環境：

Fiddler v5.0.20204.45441

Pixel3 Android11 、已 root + Xposed

1、在 Fiddler 里面 Tools — Options

2、在 options 彈框中切換至 HTTPS ，勾選圖中標記的 2 個選項并點擊 OK

3、勾選后會彈出安裝證書的提示，根據提示一直點擊是即可安裝成功4、接著在Tools — Options — Connections，端口寫 9999（可隨意更改），并勾選 Allow remote computers to connect ，點擊 OK

5、重啟 Fiddler （修改fiddler配置要重啟后才能生效）6、修改手機網絡設置

7、在瀏覽器訪問上面設置的 IP 地址和端口號，我這里是 172.20.10.5:9999（這里要根據實際情況），然后 FiddlerRoot certificate 進行下載證書，并自行安裝

那么安裝之后就可以進行抓取 APP 數據包了

3、使用 Burpsuite + Fiddler 進行對 APP 進行抓包

配置 Burpsuite 使用的代理監聽是 127.0.0.1:8080

在 Fiddler 里面 Tools — Options — Gateway 配置的代理監聽是 127.0.0.1:8080（這里的配置與 Burpsuite 代理一致）

接著在 Tools — Options — Connections ，端口寫 9999（可隨意更改)，并勾選 Allow remote computers to connect ，點擊 OK

修改手機網絡設置

也就是說從手機的流量經過 Fiddler 進行轉發到Burpsuite

4、使用小黃鳥 HttpCanary 對 APP 進行抓包

環境：

HttpCanary v3.3.6

Pixel3 Android11 、已 root + Xposed首先安裝 HttpCanary APP 應用

HttpCanary 支持 HTTP/HTTPS/HTTP2 網絡數據包的抓取和分析，其實和 Charles 類似，要抓取 HTTPS 需要使用 MITM 中間技術對 TLS/SSL 數據包進行解密以及明文輸出，因此需要安裝自簽的 CA 證書

這里要提一下 Android 系統默認對證書信任證書的問題

因為我的 Pixel3 手機是已經 root 了，而且是 Android11 系統，在安卓 7.0 之前系統，直接下載證書裝入即可，安卓 7.0 及以上系統對于證書的安全策略做了修改，意味著，從 sdcard 安裝用戶級 CA 將無法攔截應用流量。我們需要將證書命名為計算出的哈希值后綴 .0 或者直接在手機里面的用戶憑據可以看到后綴 .0的證書文件名字，然后導入到根證書目錄：/system/etc/security/cacerts 讓系統默認可信任。因此安裝證書的方式也有所不同，默認它是安裝在用戶那里的。

首先按照我下面的圖順序進行安裝證書

先導出 HttpCanary根證書文件 .pem

點擊它，即可完成安裝證書

那么這里就看到它是安裝在用戶那里的，但是由于我的設備是已經 root 了，要把這個證書安裝在系統那里才能進行抓取 HTTPS 流量

那么這時就需要把證書的文件移動到系統目錄下就可以了，這里選擇導出 System Trusted(.0)

那么就把證書進行移動到系統證書目錄 /etc/security/cacerts/

在 Android 10 以及以上安裝證書到 /system/etc/security/cacerts/會出現 system 無法寫入使用 mount 報錯如下：

'/system' not in /proc/mounts
'/dev/block/dm-4' is read-only

由于 Android 10 采用了某些安全策略，將系統分區 /system掛載為只讀，就算你 root 了也沒用，無法寫入系統分區也就無法導入系統證書，在使用 HTTPCanary 這樣的軟件抓包分析的時候，很多 app 只認系統證書，不認用戶證書遇見此類情況有兩種方式解決：1、在 Magisk 里面安裝 `Move Certificates模塊`[1]，該插件可以一鍵將所有用戶證書自動轉換為系統區證書

使用方法：所有證書安裝為用戶證書后，安裝此插件，并重啟。

2、創建一個新的掛載點來覆蓋這種方式是內存覆蓋的方式所以手機重啟后失效。（想要持久化需考慮搞一個開機啟動服務）

#?創建一個臨時目錄，保存當前證書
mkdir?/sdcard/tmp/
#?復制現有證書到臨時目錄
cp?/system/etc/security/cacerts/*?/sdcard/tmp/
#?創建內存掛載
mount?-t?tmpfs?tmpfs?/system/etc/security/cacerts
#?將現有證書復制回?tmpfs?掛載
mv?/sdcard/tmp/*?/system/etc/security/cacerts/
#?更新?perms?和?selinux
chown?root:root?/system/etc/security/cacerts/*
chmod?644?/system/etc/security/cacerts/*
chcon?usystem_file:s0?/system/etc/security/cacerts/*

再進來這個看證書的界面就已經看到已經把用戶的證書安裝在系統那里了

雖然 HttpCanary 是一個很不錯的抓包工具，但是它并不能跟其他抓包工具進行一個聯動轉發抓包，所以當滲透測試人員在使用它進行抓包之后，可以直接在手機上進行修改數據包進行測試，但是可能在手機上工作效率沒那么高，于是就把要測試的數據包復制出來到 Burpsuite 上進行修改并發包，這個過程也會浪費很多時間。

下面是 HttpCanary 的工作原理

HttpCanary 采用 VPN 的方式將網絡包轉發給本地代理服務器，本地代理服務器將數據包轉發虛擬網關，由虛擬網關進行不同策略地攔截和協議解析，最后再將數據發送給終端

最重要的一層就是虛擬網關 Virtual Gateway ，需要對協議進行鑒定解析等等，包括數據包的攔截注入都是在這一層處理的，比如 HTTPS 的中間人（MITM)解析出明文包等

因此從上圖觀察它的工作原理進行分析之后，讓我尋找到另一種方式抓包（它的工作方式也和 HttpCanary 有點相似）可以用它來代替 HttpCanary —— Postern + Charles + Burpsuite組合，至于怎樣操作，可以在文章下面 7、使用Postern + Charles + Burpsuite進行對APP進行抓包進行詳細閱讀

5、使用 Charles 對 APP 進行抓包

環境：

Charles v4.6.2

Pixel3 Android11 、已 root + Xposedcharles 是一款非常優秀的抓包工具，全平臺支持，在 mac，windows，linux 上都可以使用，既可以抓取 web 端的包，也可以抓 app 端的包charles 主要的功能包括如下幾點：

截取 Http 和 Https 網絡封包。

支持重發網絡請求，方便后端調試。

支持修改網絡請求參數。

支持網絡請求的截獲并動態修改。

支持模擬慢速網絡。

代理服務器的工作原理如下所示：

客戶端發起請求，請求通過 charles 轉發給服務器，服務器返回響應，響應通過 charles 轉發給客戶端。

charles 所起的作用就相當于信使，把信息從 A 傳遞給 B，并且把回信從 B 傳遞給 A，正因為他這個信使的工作，所以他對信息的內容了如指掌(不管是原信還是回信)，正因為如此，charles 也就可以篡改信息的內容，即篡改請求和響應。

Charles 下載地址：

https://www.charlesproxy.com/download/

然后自行安裝之后，要對它進行激活

注冊碼生成地址：

https://www.zzzmode.com/mytools/charles/

激活 Charles在 Help->Registered 輸入 key 和生成的激活碼即可

設置代理，在 Proxy — Proxy Settings ( 注意：此時我的Windows Proxy是去掉對勾的，因為這里我是想在PC端抓手機端的包，所以沒必要打開電腦的本地代理 )

填入代理端口 8888（或者自定義，但不能和系統已占用端口沖突），并且勾上 Support HTTP/2 和 Enable transparent HTTP proxying ，點擊右下角 OK 即可

然后分別在 PC 端和手機端安裝證書選擇 Help — SSL Proxying — Install Charles Root Certificate 就可以下載安裝上 PC 端了

證書存儲選擇受信任的根證書頒發機構

接下來再給手機端安裝證書，步驟如下：選擇 Help — SSL Proxying — Install Charles Root Certificate on a Mobile Device or Remote Browser

點擊后會彈出窗口提示設置的方法，按照提示在手機端將代理設置為電腦的 ip:8888（我這里是192.168.1.251:8888 ），這里要先確保手機和電腦連接同一個無線網絡。然后在手機的瀏覽器打開 http://chls.pro/ssl ，按提示下載證書即可。

如果 Charles 有彈出提示，一定要點擊 Allow

首先按照我下面的圖順序進行安裝證書

找到選擇剛剛下載的證書文件，點擊即可完成安裝

它也是安裝在用戶那里，但是由于我的設備是已經 root 了，要把這個證書安裝在系統那里才能進行抓取 HTTPS 流量

但是移動證書的前提要知道證書安裝之后的證書文件是被命名為什么，于是可以在用戶憑據這里可以看到

文件為 b905ae73.0 ，它目前是在用戶目錄下 /data/misc/user/0/cacerts-added/

然后把它復制到 /etc/security/cacerts/ 系統目錄下

HTTPS 解析

然后在 Proxy — SSL Proxying Settings 進行 SSL Proxying Settings 設置勾選 enable SSL Proxying 復選框代表開啟 SSL Proxying 代理，并在 include 欄中添加域名和端口號。include 中的列表項代表 Charles 能夠展示這些域名的 SSL 請求和響應的明文。

并且說明中也提示了我們 Charles 要想使用 SSL Proxying 代理，需要進行 SSL Certificates，即證書簽名。這個我們在上面已經完成了。

Stop SSL Proxying 按鈕可以控制 SSL 代理的開關。（必須要開啟SSL Proxying）

到此，PC 端的設置都已經配置好了，然后就能進行抓包了

6、使用 Charles + Burpsuite 進行對 APP 進行抓包

選擇勾選 Proxy — External Proxy Settings 就是要將 Charles 作為手機端的代理，再由 Charles 將包轉發給 burpsuite，所以對于 Charles 來說，burpsuite 就成了一個 External Proxy Server —— 外部代理服務器

勾選 HTTP 和 HTTPS 代理，這里 HTTP 和 HTTPS 的代理服務器地址都是 127.0.0.1:8080（這里的配置與 Burpsuite 代理一致）

已經設置了外部代理了，就必須打開 burp（當然了主要是要打開 burp 中對 127.0.0.1:8080 的監聽），否則就會出現連不上網了的現象。在 burp 的菜單欄中的 Proxy 選項下的 Options 中打開 127.0.0.1:8080 的代理監聽（默認應該是已經打開的），在 Intercept 中關閉請求攔截。

完成上面的配置步驟后，從手機上打開瀏覽器搜索內容，應該已經可以在 Charles 窗口左側的列表中找到想抓的包，并且也可以看到數據包從 Charles 轉發到 Burpsuite 了

7、使用 Postern + Charles + Burpsuite 進行對 APP 進行抓包

在實際抓手機 App 包場景中，有很多種方案，經典的就是 Fiddler 、 Burpsuite ，但是 Fiddler 、 Burpsuite 會遇到一個問題，如果 App 為了防止中間人抓包，特意設置了不走代理這個選項，那單獨直接用 Fiddler 、 Burpsuite 這些抓包工具就不能抓包的，那總不可能說不能抓包就認為目標系統很安全吧？為了抓到完整的包，于是就衍生出 Postern + Charles 這個組合，是因為 Charles 沒有直接監聽到 App，Charles 是監聽到了 Postern 上，Postern 就是一個VPN ，所以 App 設置不走代理也沒用，它是通過 VPN 將所有流量轉發到 Charles 的 socks 代理，再打開 Charles 的 External Proxy Server — （外部代理服務器）轉發到 Burpsuite，從而實施中間人抓包

環境：

Postern 3.1.3

Charles v4.6.2

Burpsuite Professional v2021.2

Pixel3 Android11 、已 root + Xposed

先配置 Charles

在 Proxy — Proxy Settings ，勾選 Enable SOCKS proxy 進行設置 SOCKS 代理（按照下圖的操作），端口號我這里設置 16666（或者自定義，但不能和系統已占用端口沖突）

配置代理

添加代理服務器

點擊保存

配置規則

添加規則

按照下圖進行操作并點擊保存

打開/關閉 Postern

那么只要上面的使用Charles + Burpsuite進行對APP進行抓包設置好之后，打開你想要抓的目標 APP 就可以看到數據包已經轉發到 Burpsuite 了

但是如果遇到某些比較敏感的 APP，檢測 root 的話，可以參考下面的兩篇文章進行設置

隱藏 Root - Zygisk 版面具 Magisk 過銀行 App 等 Root 檢測，Shamiko 模塊的妙用[2]

magisk 安裝與配置[3]

Charles 和 Fiddler 的比較

Fiddler 雖然也可以完成對手機的抓包，但是如果 App 設置了不走代理，那 Fiddler 就失敗了，并且 Fiddler 每次都需要手動修改網絡設置的代理，但是 Charles 與 Postern 聯動配合就不需要手動修改網絡設置，只需要配置好 Postern 和 Charles 的連接就可以了，并且可以對絕大部分的 App 進行抓包，不使用代理時，直接關閉 Postern 即可

目前來說，Fiddler 和 Charles 都是很流行的，但是相對來說，還是 Postern + Charles 適用范圍更廣一些。

8、使用 Frida + Xposed + Objection + Burpsuite 進行對 APP 進行抓包

SSL 證書綁定

什么是證書綁定呢？其實網上叫法蠻多的，SSL 證書綁定、英文名字：SSL Pinning 或者證書檢驗。總之無論怎么叫都是檢驗證書是否可信任。我們知道從 HTTP 到 HTTPS 數據在傳輸過程中添加了一層 SSL/TLS，讓我們數據流量處于加密狀態，不再是明文可見。這時候便有了 CA 證書。

我們在抓取 HTTPS 數據包得時候，做的就是利用假的 CA 證書，來實現中間人劫持數據。一旦 app 校驗了證書的指紋信息。我們的證書不再受信任了。自然而然就無法建立連接，所以必須想辦法讓 app 信任，才能繼續抓包。當然這個分為兩種情況：

（1）單項校驗-客戶端校驗服務端的證書。

（2）雙向認證-客戶端不僅僅要校驗服務端的證書，也會在 app 內放一張證書；服務端也會檢驗客戶端里的證書。

單向校驗

Android 系統中已經提供了檢驗證書的 api，我們只需要實現 checkClientTrusted 、 checkServerTrusted 、 verify 等方法即可。

這類的對抗需要我們將這些函數的校驗進行置空，默認信任所有證書即可。

使用 Xposed + JustTruestMe 來突破 SSL Pinning

Xposed 是一個框架，它可以改變系統和應用程序的行為，而不接觸任何 APK。它支持很多模塊，每個模塊可以用來幫助實現不同的功能。JustTrustMe 是一個用來禁用、繞過 SSL 證書檢查的基于 Xposed 模塊。JustTrustMe 是將 APK 中所有用于校驗 SSL 證書的 API 都進行了 Hook，從而繞過證書檢查。

環境：

Pixel3 Android11 、已 root + Xposed

SSLUnpinning 2.0 插件

JustMePlush 插件

Frida-server-15.1.27-android-arm64

PC 端的 Frida v15.1.27

Objection v1.11.0

首先下載 Xposed 框架插件 SSLUnpinning + JustTrustMe ， SSLUnpinning 插件可以直接在 Xposed 商店下載，而 JustTrustMe[4] 插件需要到下面的 GitHub 鏈接自行下載

我這里就使用 SSLUnpinning 2.0 插件和 JustMePlush 插件，效果都是一樣的，插件安裝完之后，記得啟動插件，然后重啟手機后插件才能生效

然后使用 Objection 進行繞過

Objection 是一款基于 frida 的 hook 框架，由于 frida 需要我們自己編寫腳本，使用比較麻煩，objection 內置了在安卓和 IOS 逆向中常用的一些 hook 腳本，我們通過簡單的命令行就可以進行 hook 動態篡改，非常方便

因為 Objection 是基于 Frida 的所以必須先安裝 Frida 然后才能安裝 Objection

pip3 install objection

按照上面的操作進行部署 Frida 環境之后，就啟動 Frida服務端程序

接著用 Objection 注入到目標 APP 應用程序上

objection -g 包名 explore

如果不知道 APP 包名，可以用以下命令進行查看，但是依然前提要啟動了 Frida服務端程序

frida-ps -Ua

然后輸入關閉 APP 的 SSL 校驗命令

android sslpinning disable

并在手機里面網絡設置也要設置手動代理模式，輸入的 IP 和端口都要與 Burpsuite 一樣

即可完成繞過 SSL Pinning 進行抓包

如果出現還是依然無法繞過 SSL Pinning 的情況，可以參考下面兩篇文章

Android 抓包總結[5]

[Frida.Android.Practice (ssl unpinning)](https://github.com/WooyunDota/DroidDrops/blob/master/2018/Frida.Android.Practice.md "Frida.Android.Practice (ssl unpinning "Frida.Android.Practice (ssl unpinning)")")

雙向校驗

APP 除了校驗服務端的證書，服務端還會檢驗 APP 的證書。HTTPS 雙向證書校驗在實際中幾乎很少用到，因為服務器端需要維護所有客戶端的證書，這無疑增加了很多消耗，因此大部分廠商選擇使用單向證書綁定。對抗雙向認證需要完成兩個環節：

（1）讓客戶端認為 burp 是服務端，這一步其實就是破解 SSL pinning，方法和上述過程完全相同。

（2）讓服務端認為 burp 是客戶端，這一步需要導入客戶端的證書到 burp，客戶端的證書一定會存在本地代碼中，而且還可能會有密碼，這種情況下需要逆向客戶端 app，找到證書和密碼，并轉為 pkcs12 格式導入到 burp。User options -> SSL -> Client SSL Certificate。

雙向校驗的app 案例：
https://www.wandoujia.com/apps/8280413

通常情況下應用會將證書放置在資源目錄 app/asset下，后綴名為 p12 、 pfx的文件。當然也可能會偽裝成其他文件，例如圖片文件等。

怎么找到證書密碼呢？一般要么逆向分析找到密碼，要么通過 hook api java.security.KeyStore 使密碼自吐。

（1）Jadx 中搜索證書的名字、或者證書鏈 x509certificate 分析定位到關鍵位置。

（2）服務器對客戶端進行校驗過程中，客戶端將證書公鑰發送給服務器，以及從服務器獲取 session 和私鑰解密過程中，需要 API 進行操作，API 存在于 java 層框架內，所以 hook 框架層代碼 java.security.KeyStore，使密碼自吐。這里下圖的案例 APK 解壓之后在 assets 目錄下有一個 client.p12 的證書文件，但是不知道它的密碼，因此要使用 Frida 對目標 APP 進行 hook，讓它密碼自吐。

注意：.p12后綴的證書文件是由 .crt證書和 key 文件合并成.p12證書文件，并且在合并生成 .p12 文件的時候必須對證書進行加密（也就是加個證書密碼），不加密碼 Burpsuite 是無法導入的

function?hook_KeyStore_load()?{
????Java.perform(function?()?{
????????var?StringClass?=?Java.use("java.lang.String");
????????var?KeyStore?=?Java.use("java.security.KeyStore");
????????KeyStore.load.overload('java.security.KeyStore$LoadStoreParameter').implementation?=?function?(arg0)?{
????????????console.log(Java.use("android.util.Log").getStackTraceString(Java.use("java.lang.Throwable").$new()));
????????????console.log("KeyStore.load1:",?arg0);
????????????this.load(arg0);
????????};
????????KeyStore.load.overload('java.io.InputStream',?'[C').implementation?=?function?(arg0,?arg1)?{
????????????console.log(Java.use("android.util.Log").getStackTraceString(Java.use("java.lang.Throwable").$new()));
????????????console.log("KeyStore.load2:",?arg0,?arg1???StringClass.$new(arg1)?:?null);
????????????this.load(arg0,?arg1);
????????};

????????console.log("hook_KeyStore_load...");
????});
}

setImmediate(hook_KeyStore_load)

腳本可以在大佬博客這里復制，并命名為 ssl.js（可自定義）抓包之服務器校驗客戶端證書[6]

執行下面的命令

frida -U -f APP 包名 -l ssl.js --no-pause

可以發現我們通過 hook 框架層代碼得到了 client.p12證書密碼為 111111，然后在 Burpsuite 里面選擇 User options — TLS — Client TLS Certificates — Add 進行導入證書，Destination host寫*進行匹配所有地址，證書類型選擇File（PKCS#12），然后選擇Next

加載 assets 目錄下的 client.p12 證書文件，和輸入上面 hook 出的密碼 111111

導入證書之后，就可以正常的抓包了，可以看下面的圖，下面的 403 是沒導入證書的時候，它就不允許你抓包訪問，上面的 200 是我導入證書之后，就可以正常抓包了

還有就是在某些特殊場景 web頁面或者 APP 需要在 PC 電腦端安裝證書才能進行訪問抓包的，那么就要根據實際情況去操作

9、使用 Frida 寫 Hook 代碼來進行對 APP 模擬抓包

環境：

夜神模擬器 32 位 Android7.1.2 已 root

Frida-server-15.1.27-android-x86

PC 端的 Frida v15.1.27

Objection v1.11.0

使用 Charles 抓不到包怎么辦呢，我們有 Frida，可以通過 frida 來 hook 住 APP 構造網絡請求和接收數據地方的代碼，然后打印出來請求和返回數據，這樣 APP 向服務器進行的網絡請求和接收的數據便一覽無余了。

一般網絡請求和接收數據的代碼都會寫在一個類中，我們只要找到一個點來追蹤去找到這個類就可以了。

在大佬的 Github 項目里面找到一個Frida 實現攔截 okhttp 的腳本[7]

它的工作原理就是：

由于所有使用的 okhttp 框架的 App 發出的請求都是通過RealCall.java發出的，那么我們可以 hook 此類拿到 Request 和 Response, 也可以緩存下來每一個請求的 call 對象，進行再次請求，所以選擇了此處進行 hook。find 前新增 check，根據特征類尋找是否使用了 okhttp3 庫，如果沒有特征類，則說明沒有使用 okhttp; 找到特征類，說明使用了 okhttp 的庫，并打印出是否被混淆。這里我使用了真機進行測試，遇到下面的報錯，應該是有檢測到我真機的一些環境原因吧，因此我就使用了夜神模擬器進行下面的操作