iOS-防止 Charles 抓取数据

刺骨的言语ヽ痛彻心扉 2023-10-17 23:24 10阅读 0赞

现在 APP 开发，数据的保密性越来越受重视，保密性高才不会让数据轻易被泄露，同时保护到用户和公司的利益。如何做到保密更加完善呢？怎么防止 Charles 获取数据呢？

1、通过 HTTP/1.1 及以上版本的 CONNECT 请求方式。CONNECT 请求方式是什么呢？开发中我们多数用的是 POST 和 GET 来向服务端请求数据。

> CONNECT 是在 HTTP/1.1 协议中，HTTP/1.0 定义了三种请求方法： GET, POST 和 HEAD方法，HTTP/1.1 新增了五种请求方法：OPTIONS、 PUT、DELETE、 TRACE 和 CONNECT 方法。它主要是把服务器作为跳板，先验证用户名和密码等信息，再让服务器代替用户去访问其它网页，之后把数据返回给用户。对HTTP/1.1 的 CONNECT 有兴趣，可以查阅 [HTTP代理协议 HTTP/1.1 的 CONNECT 方法][HTTP_ HTTP_1.1 _ CONNECT]。

简书的PC端部分是如此实现。打开简书网页，Charles抓取到的 中，可以见到它的 Method 为 CONNECT 请求方式。

![700][]

CONNECT 请求方式

2、使用自签名证书的应用和双向验证的应用。在抓取一些第三方应用的包时候，为什么很多时候都抓取不到数据呢？

> 其一，客户端通过指定的方式只信任某一个证书；其二，一般做法只有客户端验证服务端公钥证书是不是合法，但是某些 app，比如支付宝，采用双向验证的方式，在通信过程中，服务器会验证 app 的公钥证书，这时候，就没办法使用 Charles（中间人攻击的方式）进行抓包。

3、对返回数据进行加密(RAS保密 + token验证 & 效率更高的AES) 。

4、判断客户端当前是否设置了代理。这也是本人通过 NSURLProtocol 拦截请求后，判断是否设置了代理，实现了防止 Charles 抓取 APP 的数据。

> 具体当进行网络请求的时候，如果设置了代理，不允许进行访问，对支付宝 APP 抓包时候，设置了代理后打开，很多界面都是无法访问了，某部分界面不知是否通过这方式实现？有了解的，感谢分享下。

判断客户端是否设置了代理，具体代码可以参考：[iOS开发 如何判断网络请求是否开启了代理][iOS_]。

For The Good App.

参考：

*  [iOS Charles 抓包 https 实战并篡改返回数据][iOS Charles _ https]
 *  [Android 系统各个版本上https的抓包][Android _https]

[HTTP_ HTTP_1.1 _ CONNECT]: https://blog.csdn.net/kobejayandy/article/details/24606521
[700]: http://upload-images.jianshu.io/upload_images/2904319-63274f3f0ef3b982.png?imageMogr2/auto-orient/strip%7CimageView2/2/w/700
[iOS_]: https://www.jianshu.com/p/7e1bb0812df6
[iOS Charles _ https]: https://www.jianshu.com/p/e26151084add
[Android _https]: https://www.jianshu.com/p/3b4cd6fdd8a9