移动安全-APP证书校验与抓包_app 证书强校验

APP单向认证

如果你是干web安全的，当你在测试目前大多数的手机APP应用程序时，你一定遇到过burpsuite无法抓到数据包的情况，开始你以为只是https的问题，但是当你使用了burpsuite伪证书也无法抓取到时，你心里除了有句“MMP……”外，你一定也在思考这其中的蹊跷。

为什么HTTPS的网站使用伪证书可以抓到，而在APP里面同样的方法就抓不到？答案是： APP启用了SSL Pinning（又叫“SSL证书绑定”） 。

HTTPS的原理你必然懂，在建立SSL通道的过程中，当客户端向服务端发送了连接请求后，服务器会发送自己的证书(包括公钥、证书有效期、服务器信息等)给客户端，如果客户端是普通的浏览器，比如IE浏览器，则：

使用内置的CA证书去校验服务器证书是否被信任，如果不被信任，则会弹出https的告警提示信息，由用户自己决定是否要继续；
同样，用户也可以主动地将服务器证书导入到浏览器的受信任区，下次打开时该服务器证书将会自动被信任。

为啥中间人可以劫持https流量，以及在浏览器上我们为什么可以使用burp伪造证书，正是因为上面的2点，即：

浏览器允许用户自行忽略证书告警，用户在无足够的信息安全意识时，可能会直接忽略刘浏览器的安全提示；
浏览器允许“导入证书到浏览器信任区“这个操作让浏览器信任burp伪造的证书。这种伪造证书的中间人攻击给HTTPS带来了很大的威胁。

SSLPinning

如果能够这样做，是不是就可以解决这种“中间人劫持+伪造证书”攻击的问题：

客户端在收到服务器的证书后，对该证书进行强校验，验证该证书是不是客户端承认的证书，如果不是，则直接断开连接。

浏览器其实已经这样做了，但是如“前面”所说，选择权交给了用户，且浏览器由于其开放性允许让用户自导入自己的证书到受信任区域。

但是在APP里面就不一样，APP是HTTPS的服务提供方自己开发的客户端，开发者可以先将自己服务器的证书打包内置到自己的APP中，或者将证书签名内置到APP中，当客户端在请求服务器建立连接期间收到服务器证书后，先使用内置的证书信息校验一下服务器证书是否合法，如果不合法，直接断开。

当然攻击者也可以通过把这个APP源码给逆出来，然后找到证书校验这段逻辑，给他干掉，或者干脆把证书信息换成自己的服务器证书信息，然后重新打包签名，但是一旦APP做了代码加密和混淆，这个操作也会变得比较难搞。

因此这样看来，通过预先把服务器的证书信息“绑定“在APP的native端，然后建立连接时使用预先内置的绑定信息进行服务器证书校验，同时使用足够的代码加密或混淆，是比较合适的解决办法，这个搞法就是“SSL Pinning”.

【注意】不要将SSL Pinning和 HTTPS 双向认证 搞混了，HTTPS协议本身是支持双向认证的，既除了客户端对服务器证书进行验证外，服务器也可以要求客户端提供自己的证书信息并对其进行验证，在APP上，HTTPS双向认真的方案也可以防止中间人劫持，但这种双向认证开销较大，且安全性与SSL Pinning一致，因此目前大多数APP都采用SSL Pinning这种方案。

突破单向认证

如何突破APP客户端的证书校验？

如果你逆向比较在行，你就自己逆源码，然后过加密混淆，然后干掉SSL pinning。不过使用 Xposed + JustTruestMe 应该也不丢人。

Xposed是一个框架，它可以改变系统和应用程序的行为，而不接触任何APK。它支持很多模块，每个模块可以用来帮助实现不同的功能。

JustTrustMe 是一个用来禁用、绕过 SSL 证书检查的基于 Xposed 模块。JustTrustMe 是将 APK中所有用于校验 SSL 证书的 API 都进行了 Hook，从而绕过证书检查。

关于JustTrustMe绕过证书校验的源码分析，可阅读文章 xposed+justTrustme使用与分析。

【环境准备】

准备一个有root权限的andorid手机；
下载Xposed的APK安装包，下载地址；
下载JustTrustMe模块，下载地址，注意下载 JustTrustMe.apk版本。

【安装过程】

1、选择下载好的Xposed installer的apk包，即可开始安装，安装完成后，打开xposed应用，他会提示“xposed框架未安装”，就如他提示所言，这里安装需要重启：
在这里插入图片描述
2、点击“确定”，开始安装。

3、点击“install”，他会自动下载安装，下载速度根据网速而定。

4、当你看到这个的时候，就是安装好了,接着就是重启手机了。

5、接下来就是安装可以禁止证书验证的模块，安好后就可以愉快的进行抓包了，把前面所述的JustTrustMe.apk 下载之后，直接安装就行了。这个JustTrustme是没有界面的，但手机会提示xposed模块没有激活；
在这里插入图片描述
6、打开Xposed中的模块，就可以找到安装好的JustTrustme，只需勾选上，然后重启手机就行。
7、接下来就可以直接使用Burpsuite正常抓包了，JustTrustMe会将APP中所有进行证书验证的方法都Hook，绕过所有证书验证,从而达到可以正常抓包的效果。

【注意】实际上，还需要在Xposed框架中同时安装上 SSLkiller 模块（下载地址），才能确保成功突破SSLPinning。

【测试案例】

1、对某行手机APP进行测试，未进行证书校验且未加密的版本，可直接用BP抓包：
在这里插入图片描述 2、使用Xposed框架突破进行了客户端证书校验的加密版本的APP的证书校验，成功抓包：

VPN流量抓取

有些APP在你设置完 BurpSuite 代理后无法正常抓包但是却可以正常通信……你会很诧异这是什么情况，数据流量跑哪里去了……设置完代理后还可以正常通信，说明不是证书单向认证也不是双向认证的问题。实际上这是因为APP采用了默认禁用系统代理的网络请求框架。

网络请求框架

以下是移动 APP 流行的网络请求框架，虽然图中的有些框架已经缺乏维护了，甚至被 Android官方废弃了，比如 httpclient，但是在测试中依然遇到还有不少 APP 使用的情况，相对而言，遇到最多的还是 okhttp，这里不做讨论。

默认情况下AsyncHttpClient、cz.msebera.android.httpclient禁用系统代理，造成无法抓包，但同时，针对其他框架，我们也可以对代码进行处理，关闭系统代理或者开启代理，指定代理。

以 HttpURLConnection 为例，通过参数 Proxy.NO_PROXY 即可禁用系统代理。

以AsyncHttpClient为例，通过设置可走自定义的代理。

其他的网络框架开启或关闭设置那就需要读者你自己去 google 了，现在知道了产生的原因的，那抓包的思路就有了吧。

Packet Capture

如果你的逆向分析能力不行，又想解决以上禁用系统代理的网络请求框架下 APP 的抓包问题，那么 VPN 抓包APP—— Packet Capture 将是一个不二之选。

Packet Capture 一款依托安卓系统自身 VPN 来达到免 Root 抓取数据包的应用程序。它是一个强大的调试应用，可以捕获 Android 手机上的任何网络流量，它利用 Android 系统的 VPN service 完成网络请求的捕获，无需root，并可以通过中间人技术解密抓取到的 https 请求。

Packet Capture 的下载安装此处不演示，可参考博文： Packet Capture（Android APP端抓包工具）。注意安装过程会要求安装证书，用于SSL解密。

1、成功安装后主界面如下：
在这里插入图片描述
2、先来看看捕获全部app流量的：

在这里插入图片描述
3、点击查看QQ浏览器一个具体的数据包详情（为拜登图像的请求包）：

在这里插入图片描述
4、复制请求包到 pc 的 BurpSuite 中 Repeater 模块，点击 Send 会要求设置服务器域名、端口、协议，设置完成可直接发送成功：
可在响应包中选择 Render 查看图片预览：
至此，我们如果遇到无法抓包的app便有了另一种捕获数据包并进行重放测试的方法。

Android SDK 5.1（棒棒糖） Gradle3.0.1 在Xposed 3.0 alpha4的Android 5.1.1（MIUI 7 8.8.8）上进行了测试，也应在其他类似设备上运行。您可以从以下位置下载apk：档案：SSLKILLER.apk 大小：1055547字节修改：24-02-2018，11:02:55 MD5：95EC8BBCAA88BD2E006A57B5E6B04892 SHA1：40DE390F07085F56273D4935953E9661BC7A5B1C CRC32：F7C8E05E SSL杀手 SSLKiller用于在Android客户端上终止SSL验证功能。使用SSLKiller，您可以在客户端和服务器之间拦截应用程序的HT PCAP（Packet Capture）是一种标准文件格式，用于存储捕获的网络数据包。它广泛应用于网络分析、监控和安全领域，常由工具如Wireshark、tcpdump生成。PCAP文件记录了网络数据包的原始数据及其元数据（如捕获时间、长度），便于离线分析。原生开发套件 (NDK) 是一套工具，使您能够在 Android 应用中使用 C 和 C++ 代码，并提供众多平台库，您可使用这些平台库管理原生 activity 和访问实体设备组件，例如传感器和触控输入。NDK 可能不适合大多数 Android 编程初学者，这些初学者只需使用 Java 代码和框架 API 开发应用问题描述： app 抓包存在证书校验，常规抓包拦截网卡无法获取到数据，而证书校验分为单项证书校验，和双向证书校验。在终端模拟器执行下面命令，这里注意模拟器的版本选择7.1，9.0的版本SDK不兼容。2.科来协议分析，可以获取模拟器进程的网络通讯信息，目标通讯的ip地址。3.封包监听工具，同科来一致，监听的进程即可获取到服务器腾通讯ip信息。1.模拟器开启本地以太网代理，设置端口，bp监听以太网系统端口即可。开启外部代理工具，取消本地代理，密码为空，代理类型选择https。2.模拟器内改变配置，尝试突破。本来想挑一个 APP 抓包练练手，因为基础不是很好，想提升实战水平，结果一不小心挑了个不寻常的（对于我而言，大佬勿喷），但因为自己比较固执，不死心，花了几天时间总算搞定了，但还是有些问题，希望有懂行大佬指点一下。该 APP 使用了库，据了解，这一个封装基于OpenSSL的库，在Github上也有1.3k Star但是网上并没有相关的文章，很少，最终还是通过翻阅源码找到一个关键的So层函数作为Hook点将私钥导出。本文章Hook脚本均参考了网上的文章以及借助ChatGPT。当我们想要分析较新版本的接口时，会发现一个有趣的现象，无论是用Charles还是Fiddler，都会出现抓不到包的情况（如下图），这是因为使用SSL Pinning 证书锁定技术，是一种防止中间人攻击（MITM）的技术。主要机制是当客户端发起请求 –> 收到服务器发来的证书进行校验，如果收到的证书不被客户端信任，就直接断开连接不继续请求。所以当我们抓包学习分析时，就只能看到Fildder/Charles上一排 CONNECT Failed 请求，找不到我们想要分析的接口。