Android 7.0以上的系统如何抓取HTTPS包

最新推荐文章于 2024-08-20 11:44:17 发布
最新推荐文章于 2024-08-20 11:44:17 发布
阅读量1.5k 收藏 4
点赞数
分类专栏： 测试分享 文章标签： Charles
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/alice_tl/article/details/79038133
版权

Android 7.0 以上的操作系统，大部分机型，如红米note、华为荣耀等按照老的方法设置了代理之后，依然无法抓包，并且部分手机比如小米上安装Charles证书会报错，这是因为Android系统做了安全限制，那么需要怎么解决呢？

 

先解决Android系统的安全限制

不解决的话Charles会报错：Client SSL handshake failed: An unknown issue occurred processing the certificate (certificate_unknown)

解决的方法如下：

按照Charles官方文档的要求，https://www.charlesproxy.com/documentation/using-charles/ssl-certificates/，在APP的代码中添加相应代码支持。

 

也就是说，要在APP代码里进行如下的操作：

1、创建network_security_config.xml

在res文件夹下创建一个“xml”文件夹，并且文件夹中创建network_security_config.xml

2、XML文件配置

 


                

        

        

    

  


        

            

                    
                      最低0.47元/天 解锁文章
                        
                    
            

        

    

      

        

            

              
                
                  Holidaylovesam
                
              
            

            

                关注
              
            

        

        

          
      

      

            

                专栏目录
          









                



	

		

			

				
					
Android7.0 以上Charles抓取HTTPS包解决方法

				
			

			

				

					weixin_45697761的博客
				

				

					04-20
					
					683
					
				

			

		

		

			
				
Android7.0 以上Charles抓取HTTPS包解决方法
经过俺多天的努力，终于找到了Charles抓取HTTPS接口的解决方法
下载VritualXposed apk包安装到android手机
链接：https://pan.baidu.com/s/1reFsjoHdXETHp6zo78Deow
提取码：suns
下载JustTrustMe apk包安装到android手机
链接：https://pan.baidu.com/s/1reFsjoHdXETHp6zo78Deow
提取码：suns
安装完

			
		

	



                

              
                



	

		

			

				
					
Android 7.0 https 抓包实现

				
			

			

				

					weixin_33809981的博客
				

				

					03-15
					
					953
					
				

			

		

		

			
				
说到抓包，这就是涉及到调试和安全问题，对于 Android 7.0 （API 24 ）以下，你可以直接使用 Charles 安装相关证书配置好代理后直接实现。但是在 Android 7.0 之后，Google 推出更加严格的安全机制。

<?xml version="1.0" encoding="utf-8"?>
<manifest ... >
    <applic...

			
		

	



                


  
              

                


	

		

			

				
					
Android 7.0+抓包https突破ssl-pinning方案抓包插件.zip

				
			

			

				

					03-17
				

			

		

		

			
				
Android 7.0+ 抓包https方案，突破ssl-pinning
使用方法：https://blog.csdn.net/u014644574/article/details/104930877

			
		

	





	

		

			

				
					
Android网络安全配置network_security_config

					
最新发布

				
			

			

				

					dzqxwzoe的博客
				

				

					08-20
					
					767
					
				

			

		

		

			
				
但是上面的方式有局限性，所以测试经常会用到网络抓包来查看网络请求错误。在Android6.0 及以下系统可以抓包，而 Android7.0 及以上系统不能再抓包了，因为Android7.0及以上系统版本新增了证书验证，所以app 内不再像原来一样默认信任用户的证书了。为了让测试能在抓包，一般都会在AndroidManifest.xml文件中配置network-security-config来实现。

			
		

	



		

			
		



	

		

			

				
					
Android 7.0以上版本 HTTPS 抓包解决方法

				
			

			

				

					农村打工仔的博客
				

				

					01-24
					
					7906
					
				

			

		

		

			
				
HTTP 协议发展至今，已经有二十多年的历史，整个发展的趋势主要是两个方向：效率 & 安全。

效率方面，从 HTTP1.0 的一次请求一个连接，到 HTTP1.1 的连接复用，到 SPDY/HTTP2 的多路复用，到 QUIC/HTTP3 的基于 UDP 传输，在效率方面越来越高效。

安全方面，从 HTTP 的明文，到 HTTP2 强制使用 TLSv1.2，到 QUIC/HTTP3 强制使用 TLSv1.3，越来越注重数据传输的安全性。

总而言之，HTTP 协议的发展对，用户是友好的，但是对开

			
		

	





	

		

			

				
					
安卓7.0抓https包

				
			

			

				

					默金
				

				

					03-04
					
					1548
					
				

			

		

		

			
				
安卓7.0抓https包
首先得有一台root的手机（小米MAX手机，刷三方recovery后 root）
然后导入fedder证书为系统信任的证书，即可完成抓包，开始……
1.导出fedder证书拿到证书FiddlerRoot.cer
查看证书信息 FiddlerRoot.cer
openssl x509 -in FiddlerRoot.cer -inform DER -noout -text

2.转FiddlerRoot.cer证书为.pem文件，生成certificate.pem
openssl x

			
		

	





	

		

			

				
					
Android7及以上，抓https包-Fiddler篇

				
			

			

				

					weixin_49859373的博客
				

				

					04-16
					
					8992
					
				

			

		

		

			
				
背景:

Android从7.0开始系统不在信任用户CA证书(应用targetSdkVersion >=24是生效，如果targetSdkVersion < 24 即使系统是7.0+依然会信任)也就是说即使安装了用户CA证书，在Android 7.0+的机器上，targetSdkVersion >=24的应用HTTS包就抓不到了。

比如上面的例子，抓包工具用内置的CA证书，创建了www.baidu.com域名的公钥证书发给Client，系统校验此证书......

			
		

	





	

		

			

				
					
android 7.0 https抓包方案

				
			

			

				

					tangyuhui
				

				

					01-11
					
					1133
					
				

			

		

		

			
				
1、下载安装逍遥模拟器
2、模拟器允许root
3、安装charles,下载证书

4、使用openssl的x509指令进行cer证书转pem证书 和 用md5方式显示pem证书的hash值

证书转换，如果已经是pem格式就不再进行这一步

openssl x509 -inform DER -in xxx.cer -out charles.pem


进行MD5的hash显示

查看openssl版本
openssl version

openssl版本在1.0以上的版本的执行这一句
openssl x5

			
		

	





	

		

			

				
					
第二十六：Fiddler抓包-抓取Android7.0以上的Https包(一)

				
			

			

				

					欢迎来到本博客！这里是一个充满惊喜与挑战的世界。我们将为你带来如爆炸般震撼的观点、故事和体验。每一篇文章都像是一颗威力十足的炸弹，在你的思维世界里引爆，激发无限的思考与感悟。 独特的视角、精彩的内容，如磁石般吸引着每一位读者。无论是深度的分析、动人的情感表
				

				

					10-14
					
					443
					
				

			

		

		

			
				
【代码】第二十六：Fiddler抓包-抓取Android7.0以上的Https包(一)

			
		

	





	

		

			

				
					
http（S）系列之（四）：Fiddler手机客户端抓包以及android7.0以上手机无法抓取https解决办法

				
			

			

				

					foshengtang的博客
				

				

					10-27
					
					2829
					
				

			

		

		

			
				
骚聊：
这段时间发现心慌慌，自我分析了一下：1.每篇文章都是带着《学习的目的+个人实践+个人理解》编写的，越深入越爽那是夜话，技术是越深入越细心谨慎然后越爽，学习不可操之过急，并且必须坚持不懈；2.时间，感觉自己在追逐时间，有的时候在偷点懒。努力到感动自己，拼搏到无能为力不是我的初衷，我也非常讨厌这句话，我的设想是照顾家庭之外的时间坚持不懈完成自己的理想，但是有的时候偷了懒，所以心里不爽利。
前言
http(s)涉及安全的目的肯定是防信息泄漏，防信息篡改并被冒充，本篇文章主要针对http以及https分开讨

			
		

	





	

		

			

				
					
第二十七：Fiddler抓包-抓取Android7.0以上的Https包(二)

				
			

			

				

					欢迎来到本博客！这里是一个充满惊喜与挑战的世界。我们将为你带来如爆炸般震撼的观点、故事和体验。每一篇文章都像是一颗威力十足的炸弹，在你的思维世界里引爆，激发无限的思考与感悟。 独特的视角、精彩的内容，如磁石般吸引着每一位读者。无论是深度的分析、动人的情感表
				

				

					10-14
					
					587
					
				

			

		

		

			
				
【代码】第二十七：Fiddler抓包-抓取Android7.0以上的Https包(二)

			
		

	





	

		

			

				
					
Android7.0以上版本，源代码添加配置，进行https的抓包

				
			

			

				

					shylcok的博客
				

				

					02-20
					
					358
					
				

			

		

		

			
				
1.在res的xml目录里新建一个network_security_config.xml


<!--能抓https数据包的配置-->
<network-security-config>
    <base-config cleartextTrafficPermitted="true">
        <trust-anchors>
            <certificates src="system" overridePins="true" /

			
		

	





	

		

			

				
					
关于安卓7.0以上无法抓到https协议包的问题

				
			

			

				

					smartexam的博客
				

				

					08-26
					
					3910
					
				

			

		

		

			
				
1.软件抓包环境部署

用的抓包软件是fiddler，首先部署好抓包环境，https选项里面设置fiddler信任证书，然后导出fiddlerRoot.cer证书安装到电脑浏览器上

2.手机必须root

每个品牌型号的手机方法各有不同，及时百度（稳定版系统小米手机root用到的工具有ADB命令，Magisk面具，小米社区下载的对应手机型号的开发版系统zip,解压zip复制出boot.img映像文件，用面具将boot.img映像文件修补完成得到一个新的映像文件，将新的映像文件在电脑端用ADB刷入手机系..

			
		

	





	

		

			

				
					
Android7以上抓取https数据包-无需root

				
			

			

				

					liguangyao213的博客
				

				

					02-18
					
					2206
					
				

			

		

		

			
				
APP渗透测试之代理篇-Array-渗透测试视频教程-信息安全-CSDN程序员研修院了解如何抓取APP数据包 了解APP数据包修改方法-Arrayhttps://edu.csdn.net/course/detail/26468

一、声明

大家都知道android7.0以上， 有android的机制不在信任用户证书，导致https协议无法抓包。除非把证书装在系统信任的证书里，此时手机需要root权限。

大家都知道root手机是非常繁琐的，对于大多数来说是不切实际的，那android7.0以上有没有不需要

			
		

	





	

		

			

				
					
Android7.0及以上https抓包

				
			

			

				

					weixin_37496178的博客
				

				

					03-16
					
					312
					
				

			

		

		

			
				
理论上无论多少版本的Android系统，只要能将Charles的证书设置为系统证书就能正确抓取https下面是我个人的实现步骤。

			
		

	





	

		

			

				
					
安卓7.0以上抓包方法

				
			

			

				

					杭州无名测试
				

				

					09-23
					
					2327
					
				

			

		

		

			
				
作为测试，抓包定位前后端问题这是必须要做的，但是很多小伙伴，在app验证证书的时候，或者正式包的时候，就抓不了了。或者说在安卓高版本的时候就抓不了包了。

			
		

	





	

		

			

				
					
安卓模拟器7.0以上的抓包方法

				
			

			

				

					KHOST的博客
				

				

					01-05
					
					9452
					
				

			

		

		

			
				
抓包前准备：

模拟器:雷电模拟器4.0 Android7.1内核版本

Proxifier、代理抓包工具(burpsuite、Fiddler)均可



通常情况下需要在模拟器中修改wifi代理其实我觉得这种是比较麻烦的、何必不只要我运行了burpsuite和Proxifier之后就可以抓模拟器包，不需要修改其内部配置呢。并且某些app也会检测代理情况，如果修改了或开启了代理app就无法正常运行，我们通过在模拟器外部进行抓包来绕过app检测。



开始配置：

首先运行burpsuite监听默认80..

			
		

	





	

		

			

				
					
Android 7.0 抓包

				
			

			

				

					mingyqf的博客
				

				

					04-28
					
					2215
					
				

			

		

		

			
				
APP渗透—Android 7.0 抓包
发布时间：2022-03-04 10:30:49

本文首发于公众号：白帽子左一
用到的工具
Proxifier（可在内网渗透上课件中找到）或：https://www.jb51.net/softs/527902.html
burpsuite（其他抓包工具亦可）
雷电模拟器4 （Android 7）https://www.ldmnq.com/?n=6000&bd_vid=7476744816742092625
抓包前的准备
打开burp，选择Proxy，Opt

			
		

	





	

		

			

				
					
安卓7.0以上抓包https

				
			

			

				

					03-25
				

			

		

		

			
				
A：在安卓7.0及以上版本中，由于Google升级了网络安全标准，https的请求无法直接抓包，需要使用ssl pinning技术来验证证书。  一种比较简单的方法是使用Charles代理工具，通过在手机上安装Charles根证书并进行SSL...

			
		

	



              




          




        



    





    



      

      

        
      

      





	

		评论	
	

	
	




  

    

      添加红包
      
    

    

      

        
        

          
          
        

        
请填写红包祝福语或标题

      

      

        
        

          
          个
        

        
红包个数最小为10个

      

      

        
        

          
          元
        

        
红包金额最低5元

      

      

        
        

          当前余额3.43元
          前往充值 >
        

      

      

        

          需支付：10.00元
        

        
        
      

    

  





  

    
    
  

  

    
    
  








  

    

      

        

          

            
            
成就一亿技术人!

          

          

        

        

          

          

            领取后你会自动成为博主和红包主的粉丝
            规则
          

        

      

      

        

          

            
              
            
            

              
hope_wisdom
 发出的红包
            

          

        

        

          

          

          

        

      

    

    

  



      
      

      
实付元

      
使用余额支付

      

        

          

            
            点击重新获取
          

        

        
扫码支付

      

      

        
          
            
          
          
        
      

      

        
        钱包余额
          0
          

            
            

              

                
抵扣说明：

                
 1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
 2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

              

            

          

      

      余额充值