Fiddler利用Edxposed框架+TrustMeAlready来突破SSL pinning抓取手机APP数据

蔚落 2023-10-07 21:23 16阅读 0赞

## **一、背景** ##

在使用fiddler做代理抓取应用数据包时，如果要抓取到HTTPS数据，需要将fiddler证书导入到浏览器或手机。  
浏览器或手机设置好fiddler的代理地址，即可抓取到https数据包。

如果APP应用采用证书锁定后，将无法抓取到https数据，因为此时APP应用校验证书不通过，通常APP应用会断开网络连接，防止网络传输数据被抓取。

自从android 7.0之后xposed的开发者rovo89基本就不维护了，针对android 8.0的版本草草发布了一个测试版本撒手不管了。

现在越来越多的新机型出厂就是android 9.0系统，那么怎么才能继续使用xposed框架呢？

xposed虽然死了，但是还有后来的Edxposed框架，Edxposed全称 Elder driver Xposed Framework，简称edxp。

Edxposed框架现在支持android 8.0 -android 9.0 ，如果是android 7.0或更早的版本，推荐使用xposed框架。

## **二、证书锁定** ##

证书锁定（CertificatePinning或SSL Pinning），即HTTPS的证书校验。HTTPS库在接收到证书以后，对证书进行校验，确保其跟自己保存的本地证书或硬编码数据相同，才可放行。否则视为被中间人监听，拒绝通信。

## **三、绕过证书锁定** ##

绕过证书锁定，可使用xposed框架下的两大神器来突破证书锁定。使用JustTruestMe就可以绕过证书锁定。  
前提是手机已ROOT并且安装好xposed框架。

## 四、Magisk手机ROOT ##

[https://github.com/topjohnwu/Magisk/releases][https_github.com_topjohnwu_Magisk_releases]

版本：Magisk-v25.2.apk

教程：[https://blog.csdn.net/u014644574/article/details/123501668][https_blog.csdn.net_u014644574_article_details_123501668]

## 5、安装Riru ##

[https://github.com/RikkaApps/Riru/releases][https_github.com_RikkaApps_Riru_releases]

版本：riru-v25.4.4-release.zip

复制zip文件到手机，在 Magisk 模块界面点击从本地安装，选择 zip 模块文件，安装后重启手机。

## 6、安装EdXposed框架 ##

[https://github.com/ElderDrivers/EdXposed/releases][https_github.com_ElderDrivers_EdXposed_releases]

版本：EdXposed-v0.5.2.2\_4683-master-release.zip

复制zip文件到手机，在 Magisk 模块界面点击从本地安装，选择 zip 模块文件，安装后重启手机。

## 7、安装EdXposedManager ##

[https://github.com/ElderDrivers/EdXposedManager/releases][https_github.com_ElderDrivers_EdXposedManager_releases]

版本：EdXposedManager-4.6.2-46200-org.meowcat.edxposed.manager-release.apk

![8ee075c081dd4ac6b99da20b16d8ee64.png][]

## 8、安装TrustMeAlready ##

[https://github.com/Fuzion24/JustTrustMe/releases][https_github.com_Fuzion24_JustTrustMe_releases]

版本：JustTrustMe.apk

我测试时使用 JustTrustMe 并没有成功，使用 TrustMeAlready 后成功。

[https://github.com/ViRb3/TrustMeAlready/releases][https_github.com_ViRb3_TrustMeAlready_releases]

版本：TrustMeAlready-v1.11-release.apk

安装好TrustMeAlready后，打开EdXposedManager的模块，勾选启用TrustMeAlready

![338cc0db6b794ddc98f9e59cad08b472.png][]

大部分的app都可以用此方法解决ssl-pinning检测，不过有少部分app可能依然抓不到，需要专门去逆向app找ssl-pinning逻辑并解决。

## 9、测试代码后端源码 ##

[https://gitee.com/gloweds/myhttps][https_gitee.com_gloweds_myhttps]

//https请求：https://192.168.137.1:8443/hello?name=123
        @GetMapping("/hello")
        public String hello(String name) {
            return name;
        }

该代码涉及到的ip需要替换成自己的ip地址，该代码使用的https单向验证。

测试发现，当信任所有证书，https变得毫无意义，中间人可以随意抓取数据。

## 10、测试代码移动端源码 ##

[https://gitee.com/gloweds/httpsapp][https_gitee.com_gloweds_httpsapp]

打包后app：[https://gitee.com/gloweds/httpsapp/raw/master/app/release/app-release.apk][https_gitee.com_gloweds_httpsapp_raw_master_app_release_app-release.apk]

![e0430e1a56b9481d903e2967c2fa7626.png][]

测试时，将ip地址改成自己的ip，点击https按钮就行了。

## 11、fiddler配置 ##

![7d6b0b01a2e747f1a446427f4f0f4991.png][] ![7b2e50eb14a7489eb960e63ad011ab0a.png][]

## 12、手机配置 ##

### 1、wifi配置 ###

手机与电脑连接同一wifi，或者手机连接电脑热点。我这里手机连接的电脑热点。

![25c1e0e03ff24b489b0071d14fe108f0.png][] ![73b68c85fdd642239eb5b5e618a9acb5.png][]

### 2、证书下载 ###

手机浏览器输入上面的配置的地址：http://192.168.137.1:8888

![aabbdca740d54744bea6a301479e8e22.png][] ![ea2305f5b0594fbcb2676cb64e4c8ceb.png][]

小米手机在，设置 》密码、隐私与安全 》 系统安全 》加密与凭据 》信任的凭据

![70f11f57b22b4195acb1586e0e3775b3.png][]

若要删除fiddler证书：  
小米手机在，设置 》密码、隐私与安全 》 系统安全 》加密与凭据 》信任的凭据 》用户凭据

![8dcc79d40800442bbdf3a8023fe72f3c.png][]

## 抓包成功 ##

![3bbed5d605a54d679b1f0f10e23c1275.png][]

## 13、系统代理检测 ##

除了校验HTTPS证书防止中间人抓包以外，常见的方法还有通过检测系统代理防止抓包，其原理是检测到设备开启系统代理后，APP中通过代码实现禁用代理，以OkHttp框架为例，示列代码如下:

/*
    * 检测代理
    * 目前仅限OkHttp发出的请求
    */
    switch_check_proxy.setOnCheckedChangeListener(new CompoundButton.OnCheckedChangeListener() {
        @Override
        public void onCheckedChanged(CompoundButton buttonView, boolean isChecked) {
            if(isChecked){
                client = new OkHttpClient().newBuilder().proxy(Proxy.NO_PROXY).build();
            }else {
                client = new OkHttpClient();
            }
        }
    });
    }

很多APP中会设置如下检测,我就知道一款app被检测出代理就被直接重新转发到一个固定的ip：127.0.0.1:7000

String proxyHost = System.getProperty("https.proxyHost");
    String proxyPort = System.getProperty("https.proxyPort");
    if(!TextUtils.isEmpty(proxyHost)){
    	return new Proxy(Proxy,Type.HTTP, new InetSockerAddress(proxyHost, Integer.parseInt(proxyPort)))
    }

为了绕过系统代理检测，可以使用iptables对请求进行强制转发或使用Proxy Droid，ProxyDroid全局代理工具就是通过iptables实现的，所以使用ProxyDroid开启代理，可以比较有效的绕过代理检测。手机root后，使用Proxy Droid 或Postern实现强制全局代理，让ssl代理证书生效，proxy Droid可以在UpToDown，ApkHere等的地方下载

另外一款软件Drony 不需要root，也不需要手机在 wifi 里设置代理。可以通过该 app 直接指定目标 app 才走代理，对其他 app 不可见

Drony镜像下载地址：[https://www.apkmirror.com/apk/sandrob/drony/][https_www.apkmirror.com_apk_sandrob_drony]

### Drony设置 ###

Drony英文翻译成繁体、简体对比如下：  
LOG(日誌)：日志  
SETTINGS(設置)：设置  
Wi-Fi(無線網絡)：无线网络  
Proxy type(代理類型)：Manual(手冊/手動/手动)  
Hostname(主機名)：ip地址  
Port(端口)：端口  
Filter default value(過濾默認值)：Direct all(引導全部/直连全部不做任何处理)，也可以选择Deny all拒絕全部  
Rules(規則)：规则  
Action(行動)：Local proxy chain(本地代理鏈全部)  
Application(應用程序)：应用程序

Filter default value(過濾默認值)是全局拦截设置，Rules(規則)是局部设置。  
Rules(規則)的优先级高于Filter default value(過濾默認值)全局设置。  
假如全局设置为直连，局部设置某个app为拒绝，那这个app所有请求都会被拒绝。  
假如全局设置为拒绝拦截所有请求，局部设置某个app为直连，那这个app所有请求都会放行不会拦截。

#### 方式一 ####

打开Drony，切换到“設置”(左右滑动切换)，选择“無線網絡”

![d9ad1653adbf48cf83aeb5c9d71c6573.png][]![1ca37da18f3542bb93ca86c5ec3f0256.png][]

选择电脑热点，或者一个wifi（手机和电脑都要连在这个wifi下）  
我这里手机连接的电脑热点，选择电脑热点。

![e103479955684854acec8997dfce2036.png][]

设置代理的ip地址和端口

![9e9a4604349244869f2a651639bcdfb7.png][]

返回到日志，运行。

![13e730ba5fa74cc9bcde8f19a043b4d0.png][]

这样设置默认全都都有走代理。

#### 方式二 ####

基础设置和方式一相同，多加如下配置

点击“過濾默認”，全局设置。

Filter default value(過濾默認值)是全局设置。  
Direct all(引導全部)：就是直连，转发，不做任何处理。  
Deny all(拒絕全部)：拒绝所有请求，在局部处理，防止不必要的请求干扰。我推荐这种。

![d2d1b96d34804398b3c04dd711f9a5e1.png][]

点击“規則”，新增局部设置。

![04961a45e8e94caf85d77572878349fb.png][]

设置局部处理方式。  
拒绝所有：拦截所有请求。  
引導所有：直连，所有请求都放行，不做任何处理。  
本地代理鏈全部： 所有请求，都会转发到代理ip和端口处理，也就是转发fiddler处理。

![11d9f5b68149457499dd80c3bf87ba03.png][]

## 常见错误提示 ##

400 No required SSL certificate was sent

这个错误是双向认证，请求没有携带客户端证书，

![48dc46da2c5447269750e6c4248228d5.png][]

这种要逆向app，一般在证书放在assets目录下，还需要动态调式找出客户端证书密码

## 涉及到的安装包，打包下载 ##

[https://download.csdn.net/download/u014644574/87149375][https_download.csdn.net_download_u014644574_87149375]

[https_github.com_topjohnwu_Magisk_releases]: https://github.com/topjohnwu/Magisk/releases
[https_blog.csdn.net_u014644574_article_details_123501668]: https://blog.csdn.net/u014644574/article/details/123501668
[https_github.com_RikkaApps_Riru_releases]: https://github.com/RikkaApps/Riru/releases
[https_github.com_ElderDrivers_EdXposed_releases]: https://github.com/ElderDrivers/EdXposed/releases
[https_github.com_ElderDrivers_EdXposedManager_releases]: https://github.com/ElderDrivers/EdXposedManager/releases
[8ee075c081dd4ac6b99da20b16d8ee64.png]: https://img-blog.csdnimg.cn/8ee075c081dd4ac6b99da20b16d8ee64.png
[https_github.com_Fuzion24_JustTrustMe_releases]: https://github.com/Fuzion24/JustTrustMe/releases
[https_github.com_ViRb3_TrustMeAlready_releases]: https://github.com/ViRb3/TrustMeAlready/releases
[338cc0db6b794ddc98f9e59cad08b472.png]: https://img-blog.csdnimg.cn/338cc0db6b794ddc98f9e59cad08b472.png
[https_gitee.com_gloweds_myhttps]: https://gitee.com/gloweds/myhttps
[https_gitee.com_gloweds_httpsapp]: https://gitee.com/gloweds/httpsapp
[https_gitee.com_gloweds_httpsapp_raw_master_app_release_app-release.apk]: https://gitee.com/gloweds/httpsapp/raw/master/app/release/app-release.apk
[e0430e1a56b9481d903e2967c2fa7626.png]: https://img-blog.csdnimg.cn/e0430e1a56b9481d903e2967c2fa7626.png
[7d6b0b01a2e747f1a446427f4f0f4991.png]: https://img-blog.csdnimg.cn/7d6b0b01a2e747f1a446427f4f0f4991.png
[7b2e50eb14a7489eb960e63ad011ab0a.png]: https://img-blog.csdnimg.cn/7b2e50eb14a7489eb960e63ad011ab0a.png
[25c1e0e03ff24b489b0071d14fe108f0.png]: https://img-blog.csdnimg.cn/25c1e0e03ff24b489b0071d14fe108f0.png
[73b68c85fdd642239eb5b5e618a9acb5.png]: https://img-blog.csdnimg.cn/73b68c85fdd642239eb5b5e618a9acb5.png
[aabbdca740d54744bea6a301479e8e22.png]: https://img-blog.csdnimg.cn/aabbdca740d54744bea6a301479e8e22.png
[ea2305f5b0594fbcb2676cb64e4c8ceb.png]: https://img-blog.csdnimg.cn/ea2305f5b0594fbcb2676cb64e4c8ceb.png
[70f11f57b22b4195acb1586e0e3775b3.png]: https://img-blog.csdnimg.cn/70f11f57b22b4195acb1586e0e3775b3.png
[8dcc79d40800442bbdf3a8023fe72f3c.png]: https://img-blog.csdnimg.cn/8dcc79d40800442bbdf3a8023fe72f3c.png
[3bbed5d605a54d679b1f0f10e23c1275.png]: https://img-blog.csdnimg.cn/3bbed5d605a54d679b1f0f10e23c1275.png
[https_www.apkmirror.com_apk_sandrob_drony]: https://www.apkmirror.com/apk/sandrob/drony/
[d9ad1653adbf48cf83aeb5c9d71c6573.png]: https://img-blog.csdnimg.cn/d9ad1653adbf48cf83aeb5c9d71c6573.png
[1ca37da18f3542bb93ca86c5ec3f0256.png]: https://img-blog.csdnimg.cn/1ca37da18f3542bb93ca86c5ec3f0256.png
[e103479955684854acec8997dfce2036.png]: https://img-blog.csdnimg.cn/e103479955684854acec8997dfce2036.png
[9e9a4604349244869f2a651639bcdfb7.png]: https://img-blog.csdnimg.cn/9e9a4604349244869f2a651639bcdfb7.png
[13e730ba5fa74cc9bcde8f19a043b4d0.png]: https://img-blog.csdnimg.cn/13e730ba5fa74cc9bcde8f19a043b4d0.png
[d2d1b96d34804398b3c04dd711f9a5e1.png]: https://img-blog.csdnimg.cn/d2d1b96d34804398b3c04dd711f9a5e1.png
[04961a45e8e94caf85d77572878349fb.png]: https://img-blog.csdnimg.cn/04961a45e8e94caf85d77572878349fb.png
[11d9f5b68149457499dd80c3bf87ba03.png]: https://img-blog.csdnimg.cn/11d9f5b68149457499dd80c3bf87ba03.png
[48dc46da2c5447269750e6c4248228d5.png]: https://img-blog.csdnimg.cn/48dc46da2c5447269750e6c4248228d5.png
[https_download.csdn.net_download_u014644574_87149375]: https://download.csdn.net/download/u014644574/87149375