前言:上文提到了使用Charles和Packet Capture https和手机端的抓包,有些手机APP抓包时,出现的HTTPS报文通过中间人代理后证书不被信任的问题。饿了么就出现了这种情况。
之前的推送讲过,通常要抓取HTTPS加密的数据包,一般使用Charles或者Fiddler4代理HTTP请求,配置证书信任后,便可拿到明文报文。但是由于Charles证书和Fiddler证书并非证书机构颁发的目标站点的合法证书,所以会不被信任。同样的道理,之前说过的神器Packet Capture也存在该问题。
会出现这种恶心的 unknown
![acaab3e5cddabb37c1ebd246101cd9b8.png](https://i-blog.csdnimg.cn/blog_migrate/f467bc0fee390fe95e6a3d9659ea031b.jpeg)
解决方案Xposed+JustTrustMe
![713abca7d6c1f909937b9f641c5c529d.png](https://i-blog.csdnimg.cn/blog_migrate/8b389f07a3fb89f19ccbe695ebeffeee.jpeg)
Xposed Installer(xposed框架)
是一款可以在不修改APK的情况下影响程序运行(修改系统)的框架服务,基于它可以制作出许多功能强大的模块,且在功能不冲突的情况下同时运作。
JustTrustMe是Github上的一个开源工程,它是一个Xposed模块,用来禁止SSL证书验证。以下是其简介。
可能某些软件使用了JustTrustMe 还是不行,可以再试下 SSLUnpinning 这个Xposed模块。
SSLUnpinning:
通过 Xposed 框架进行 SSLUnning,在 SSL 类中创建多个挂钩,以绕过特定应用的证书验证,然后您可以截获所有流量。
Xposed安装器下载地址: https://pan.baidu.com/s/1dEToAvJ 密码:uiu8
JustTrustMe Relese版本下载地址:https://github.com/Fuzion24/JustTrustMe/releases
sslunpinning 下载地址: https://repo.xposed.info/module/mobi.acpm.sslunpinning
安装和配置:
1.安装 Xposed
应用商店中下载,或者自己去搜安装包 给大家提供个链接:
https://www.wandoujia.com/apps/1253603
安装完成打开软件,安装下载就行。
![3e746b81424ce83f6788e4c41578ed2d.png](https://i-blog.csdnimg.cn/blog_migrate/b0b03dcd52ab661f36bec59901279498.jpeg)
2.安装过程需要Root权限,完成后重启。
3.安装JustTrustMe和 SSLUnpinning
4 安装完成后打开模块选项
![e6c1d594c13d3bc2a0b74eeb4bd937b6.png](https://i-blog.csdnimg.cn/blog_migrate/b6a2251e3bc93edfa6c4ce19979d924a.jpeg)
5.勾选上,然后重启
![62fca96d2bd12b9d4e097955b9d07f54.png](https://i-blog.csdnimg.cn/blog_migrate/2c022d4013955311e2d06529798618f4.jpeg)
最后warning,安装Xposed是有风险的,请尽量在模拟器中操作。