问题：

抓包时，安装burp suite的CA证书，但有时app不信任第三方发行证书时，无法抓到https通讯流量。

国外有人尝试4种MITM中间人，修改流量方法:

1. 自定义CA添加到受信任的证书存储中（只适合Android 6.0及以下）

2. 自定义CA证书覆盖打包（用apk studio用自定义CA覆盖UniversalRootCA证书）

3. frida hook和绕过ssl证书检查

4. 逆向自定义证书代码

这时尝试SSL Pinning，绕过验证，需要hook应用程序的代码。

1.使用模拟器，已root，android版本为6.0

以下示例是Frida JavaScript脚本的简化版本：

var so = Java.use("o.so");

    so.a.overload().implementation = function(){

}

劫持了该方法，并使其始终返回true。

2.绕过SSL固定的尝试基于SSLContext操作

将SSL Pinning Java代码移植到了Frida JavaScript。

1. 从设备加载我们的恶意CA证书
2. 创建包含信任的CA的自己的KeyStore
3. 创建一个信任我们的KeyStore中的CA的TrustManager

当应用程序初始化其SSLContext时，我们劫持了SSLContext.init（）方法，并在调用该方法时，将第二个参数（即应用程序TrustManager）与我们先前准备的我们自己的TrustManager 交换。（SSLContext.init（KeyManager，TrustManager，SecuRandom））。

这样，我们基本上将应用程序重新固定到我们自己的CA！

1.导出burp suite，CA证书，cert-der.cer

2.上传cert-der.cer到模拟器
adb push /Users/z0m/Desktop/cert-der.cer /data/local/

保存成frida-android-repinning.js

/*    Android SSL Re-pinning frida script v0.2 030417-pier 
   $ adb push burpca-cert-der.crt /data/local/tmp/cert-der.crt   $ frida -U -f it.app.mobile -l frida-android-repinning.js --no-pause
   https://techblog.mediaservice.net/2017/07/universal-android-ssl-pinning-bypass-with-frida/
   UPDATE 20191605: Fixed undeclared var. Thanks to @oleavr and @ehsanpc9999 !*/
setTimeout(function(){    Java.perform(function (){      console.log("");      console.log("[.] Cert Pinning Bypass/Re-Pinning");

      var CertificateFactory = Java.use("java.security.cert.CertificateFactory");      var FileInputStream = Java.use("java.io.FileInputStream");      var BufferedInputStream = Java.use("java.io.BufferedInputStream");      var X509Certificate = Java.use("java.security.cert.X509Certificate");      var KeyStore = Java.use("java.security.KeyStore");      var TrustManagerFactory = Java.use("javax.net.ssl.TrustManagerFactory");      var SSLContext = Java.use("javax.net.ssl.SSLContext");        // Load CAs from an InputStream      console.log("[+] Loading our CA...")      var cf = CertificateFactory.getInstance("X.509");            try {        var fileInputStream = FileInputStream.$new("/data/local/tmp/cert-der.crt");      }      catch(err) {        console.log("[o] " + err);      }            var bufferedInputStream = BufferedInputStream.$new(fileInputStream);      var ca = cf.generateCertificate(bufferedInputStream);      bufferedInputStream.close();      var certInfo = Java.cast(ca, X509Certificate);      console.log("[o] Our CA Info: " + certInfo.getSubjectDN());        // Create a KeyStore containing our trusted CAs      console.log("[+] Creating a KeyStore for our CA...");      var keyStoreType = KeyStore.getDefaultType();      var keyStore = KeyStore.getInstance(keyStoreType);      keyStore.load(null, null);      keyStore.setCertificateEntry("ca", ca);            // Create a TrustManager that trusts the CAs in our KeyStore      console.log("[+] Creating a TrustManager that trusts the CA in our KeyStore...");      var tmfAlgorithm = TrustManagerFactory.getDefaultAlgorithm();      var tmf = TrustManagerFactory.getInstance(tmfAlgorithm);      tmf.init(keyStore);      console.log("[+] Our TrustManager is ready...");        console.log("[+] Hijacking SSLContext methods now...")      console.log("[-] Waiting for the app to invoke SSLContext.init()...")         SSLContext.init.overload("[Ljavax.net.ssl.KeyManager;", "[Ljavax.net.ssl.TrustManager;", "java.security.SecureRandom").implementation = function(a,b,c) {         console.log("[o] App invoked javax.net.ssl.SSLContext.init...");         SSLContext.init.overload("[Ljavax.net.ssl.KeyManager;", "[Ljavax.net.ssl.TrustManager;", "java.security.SecureRandom").call(this, a, tmf.getTrustManagers(), c);         console.log("[+] SSLContext initialized with our custom TrustManager!");       }  });
},0);

3.运行frida抓取twitter

frida -U -f com.twitter.android -l /usr/z0m/Desktop/yeah/frida-android-repinning.js --no-paus

4.抓取到https包

objection是基于Frida的一个工具,可以方便我们直接找出apk中的需要HOOK的方法,还可以答应函数的参数,返回值以及栈调用等等。

使用方法参考：

https://blog.csdn.net/qq_40827990/article/details/106347852

源码：

https://github.com/sensepost/objection/

$Objection -g com.twitter.android explore

抓取https流量

简历投递至 [email protected]

设计师（实习生）

————————

简历投递至 [email protected]

简历投递至 [email protected]

专注渗透测试技术

全球最新网络攻击技术

END