散文網(wǎng) » 生活 »日常 » Fiddler Everywhere手機(jī)抓包&&繞過證書綁定

Fiddler Everywhere手機(jī)抓包&&繞過證書綁定

2020-11-15 21:25 作者:無情劍客Burning 0人讀過 | 我要投稿

在抓包神器之Fiddler Everywhere及Wireshark 中講解了Fiddler EveryWhere怎么抓取web的數(shù)據(jù)，這篇文章主要說怎么進(jìn)行手機(jī)抓包以及繞過如何繞過ssl-pining技術(shù)實(shí)現(xiàn)抓包。

糾正一個(gè)錯(cuò)誤

網(wǎng)上很多文章說，在進(jìn)行手機(jī)抓包的時(shí)候，一定要保證手機(jī)和電腦在同一個(gè)局域網(wǎng)。這句話是不準(zhǔn)確的，我認(rèn)為這么說的基本上是兩種情況: (1)人云亦云，別人這么說，我也這么說，應(yīng)該不會(huì)錯(cuò)吧。 (2)對(duì)抓包的原理不理解，甚至于什么是中間人攻擊都不清楚。

要實(shí)現(xiàn)抓包，需要的前提條件并不一定要在同一個(gè)局域網(wǎng)。但是應(yīng)該保證手機(jī)能夠ping同電腦的ip，因?yàn)樾枰谑謾C(jī)端下載和安裝Fiddler Everywhere的證書。

手機(jī)抓包的配置

(1)設(shè)置手機(jī)網(wǎng)絡(luò)代理，將代理設(shè)置為Fiddler Everywhere對(duì)應(yīng)的ip和端口 (2)訪問192.168.42.149(Fiddler Everywhere服務(wù)所對(duì)應(yīng)的ip):8866(Fiddler Everywhere服務(wù)所對(duì)應(yīng)的port)下載Fiddler Everywhere證書，并進(jìn)行安裝。本文使用的是ROOT的真機(jī)，系統(tǒng)版本是Android 10。如果是模擬器，可參考https://helloworddm.blog.csdn.net/article/details/98363056。 (3)可以愉快的抓包了。

證書綁定(Certificate Pinning)

Certificate Pinning，或者有叫作SSL Pinning/TLS Pinning的，都是指的同一個(gè)東西，中文翻譯成證書鎖定，最大的作用就是用來抵御針對(duì)CA的攻擊。在實(shí)際當(dāng)中，它一般被用來阻止man-in-the-middle（中間人攻擊）。

說起中間人攻擊，可能不是那么直觀，但是這一類工具我們可能經(jīng)常會(huì)用到，如Charles和Fiddler。如果一個(gè)應(yīng)用使用了Certificate Pinning技術(shù)，那么你使用前邊說的工具是無法直接來調(diào)試/監(jiān)控應(yīng)用的網(wǎng)絡(luò)流量的。

當(dāng)應(yīng)用通過HTTPS握手連接到Fidder/Charles時(shí)，應(yīng)用會(huì)檢查請(qǐng)求的服務(wù)器的證書，如果發(fā)現(xiàn)與預(yù)設(shè)的不一致，會(huì)拒絕后續(xù)的網(wǎng)絡(luò)請(qǐng)求，從而增加應(yīng)用與服務(wù)器的安全通信。如下書某視頻apk，由于采用ssl pinning技術(shù)，使得與服務(wù)器的連接無法建立。

實(shí)現(xiàn)

(1)教科書書式的實(shí)現(xiàn)。語言使用的是Kotlin，Google欲使用Kotlin來取代Java，不過個(gè)人認(rèn)為還有很長(zhǎng)的路要走。

// Load CAs from an InputStream
// (could be from a resource or ByteArrayInputStream or ...)
val cf: CertificateFactory = CertificateFactory.getInstance("X.509")
// From https://www.washington.edu/itconnect/security/ca/load-der.crt
val caInput: InputStream = BufferedInputStream(FileInputStream("load-der.crt"))
val ca: X509Certificate = caInput.use {
? ?cf.generateCertificate(it) as X509Certificate
}
System.out.println("ca=" + ca.subjectDN)
// Create a KeyStore containing our trusted CAs
val keyStoreType = KeyStore.getDefaultType()
val keyStore = KeyStore.getInstance(keyStoreType).apply {
? ?load(null, null)
? ?setCertificateEntry("ca", ca)
}
// Create a TrustManager that trusts the CAs inputStream our KeyStore
val tmfAlgorithm: String = TrustManagerFactory.getDefaultAlgorithm()
val tmf: TrustManagerFactory = TrustManagerFactory.getInstance(tmfAlgorithm).apply {
? ?init(keyStore)
}
// Create an SSLContext that uses our TrustManager
val context: SSLContext = SSLContext.getInstance("TLS").apply {
? ?init(null, tmf.trustManagers, null)
}
// Tell the URLConnection to use a SocketFactory from our SSLContext
val url = URL("https://certs.cac.washington.edu/CAtest/")
val urlConnection = url.openConnection() as HttpsURLConnection
urlConnection.sslSocketFactory = context.socketFactory
val inputStream: InputStream = urlConnection.inputStream
copyInputStreamToOutputStream(inputStream, System.out)

具體套路如下:

加載證書文件，并使用CertificateFactory生成一個(gè)X509Certificate的實(shí)例
創(chuàng)建一個(gè)KeyStore實(shí)例，并把前邊的X509Certificate實(shí)例加進(jìn)去，并起一個(gè)別名

注意，這里其實(shí)是可以加多個(gè)證書進(jìn)去的，但是注意別名不要重復(fù)，因?yàn)榈讓訉?shí)現(xiàn)是使用一個(gè)Map存儲(chǔ)別名與證書的

創(chuàng)建一個(gè)TrustManager，并且使用前邊的KeyStore實(shí)例進(jìn)行初始化
創(chuàng)建一個(gè)SSLContext，并且使用前邊的TrustManager實(shí)例進(jìn)行初始化
最后，使用SSLContext創(chuàng)建一個(gè)SSLSocketFactory實(shí)例，并且把它賦值給我們用于https的請(qǐng)求連接對(duì)象HttpsURLConnection

(1)Okhttp實(shí)現(xiàn)

String hostname = "publicobject.com";
CertificatePinner certificatePinner = new CertificatePinner.Builder()
.add(hostname, "sha256/AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA=")
.build();
OkHttpClient client = OkHttpClient.Builder()
.certificatePinner(certificatePinner)
.build();
Request request = new Request.Builder()
.url("https://" + hostname)
.build();
client.newCall(request).execute();

那么如何拿到上面所需要的hash值呢？官方給的一個(gè)方法是，先填寫一個(gè)錯(cuò)的hash值，然后根據(jù)隨后的exception的stack trace message，得到對(duì)應(yīng)的hash值。

其實(shí)也可以通過openssl提供的命令直接從der或者pem格式的證書中計(jì)算出來，由于命令相對(duì)復(fù)雜一些，我寫了一個(gè)簡(jiǎn)單的腳本封裝了一下，支持兩種格式的證書。

Frida繞過證書綁定

setTimeout(function(){
Java.perform(function (){
? ? ? ?console.log("");
? ? ? ?console.log("[.] Cert Pinning Bypass/Re-Pinning");
var CertificateFactory = Java.use("java.security.cert.CertificateFactory");
var FileInputStream = Java.use("java.io.FileInputStream");
var BufferedInputStream = Java.use("java.io.BufferedInputStream");
var X509Certificate = Java.use("java.security.cert.X509Certificate");
var KeyStore = Java.use("java.security.KeyStore");
var TrustManagerFactory = Java.use("javax.net.ssl.TrustManagerFactory");
var SSLContext = Java.use("javax.net.ssl.SSLContext");
// Load CAs from an InputStream
? ? ? ?console.log("[+] Loading our CA...")
var cf = CertificateFactory.getInstance("X.509");
try {
var fileInputStream = FileInputStream.$new("/data/local/tmp/cert-der.crt");
}
catch(err) {
? ? ? ? ? ?console.log("[o] " + err);
}
var bufferedInputStream = BufferedInputStream.$new(fileInputStream);
var ca = cf.generateCertificate(bufferedInputStream);
? ? ? ?bufferedInputStream.close();
var certInfo = Java.cast(ca, X509Certificate);
? ? ? ?console.log("[o] Our CA Info: " + certInfo.getSubjectDN());
// Create a KeyStore containing our trusted CAs
? ? ? ?console.log("[+] Creating a KeyStore for our CA...");
var keyStoreType = KeyStore.getDefaultType();
var keyStore = KeyStore.getInstance(keyStoreType);
? ? ? ?keyStore.load(null, null);
? ? ? ?keyStore.setCertificateEntry("ca", ca);
// Create a TrustManager that trusts the CAs in our KeyStore
? ? ? ?console.log("[+] Creating a TrustManager that trusts the CA in our KeyStore...");
var tmfAlgorithm = TrustManagerFactory.getDefaultAlgorithm();
var tmf = TrustManagerFactory.getInstance(tmfAlgorithm);
? ? ? ?tmf.init(keyStore);
? ? ? ?console.log("[+] Our TrustManager is ready...");
? ? ? ?console.log("[+] Hijacking SSLContext methods now...")
? ? ? ?console.log("[-] Waiting for the app to invoke SSLContext.init()...")
SSLContext.init.overload("[Ljavax.net.ssl.KeyManager;", "[Ljavax.net.ssl.TrustManager;", "java.security.SecureRandom").implementation = function(a,b,c) {
? ? ? ? ? ?console.log("[o] App invoked javax.net.ssl.SSLContext.init...");
SSLContext.init.overload("[Ljavax.net.ssl.KeyManager;", "[Ljavax.net.ssl.TrustManager;", "java.security.SecureRandom").call(this, a, tmf.getTrustManagers(), c);
? ? ? ? ? ?console.log("[+] SSLContext initialized with our custom TrustManager!");
}
});
},0);

寫在最后

基于本片文章的繞過技術(shù)，大部分基于服務(wù)器端的驗(yàn)證都是可以繞過的，但是如果是服務(wù)需要檢驗(yàn)app的證書那，這個(gè)時(shí)候Fiddler Everywhere就顯得力不從心了，F(xiàn)iddler Everywhere沒有辦法導(dǎo)入其他的證書。這時(shí)候就只能使用Charlers之類的軟件的。

公眾號(hào)

更多內(nèi)容，歡迎關(guān)注我的微信公眾號(hào):無情劍客。

標(biāo)簽：