app逆向抓包技巧：noProxy、vpn、证书单向校验（sslpinning）与双向校验绕过

九月镇灵将

已于 2024-08-16 22:54:35 修改

阅读量5.6k

点赞数 29

分类专栏： app逆向文章标签： app逆向 SSL Pinning frida-objection vpn检测 noProxy

于 2024-08-07 01:40:20 首次发布

本文链接：https://blog.csdn.net/weixin_43845191/article/details/140968996

版权

app逆向专栏收录该内容

16 篇文章

订阅专栏

本篇博客旨在记录学习过程，不可用于商用等其它途径

noProxy检测

场景

在WIFI网络下设置Charles代理
在这里插入图片描述
这个时候手机访问百度网址是可以抓到包的

访问猿人学2020app却抓不到包

检测原理

⽤代理⽅式抓包容易被检测到，
System.getProperty("http.proxyHost")，
System.getProperty("http.proxyPort")
这个app没有使用代理请求，所以使用代理模式无法抓到包
new OkHttpClient().newBuilder().proxy(Proxy.NO_PROXY).build();

绕过方式

使⽤vpn⽅式抓包，这里使用的是工具Postern，vpn抓包运⾏在⽹络层，相对代理抓包更加底层，意味着可以捕获更多的上层流量。
在这里插入图片描述

vpn检测

场景

打开目标app后发现提示网络不给力且Charles无法抓到包
在这里插入图片描述

检测原理

判断网络接口名字包含ppp0或tun0
获取当前网络Transpoart字样

绕过方式

其实也是根据检测原理来绕过，使用Frida Hook执行下面代码实现绕过

function hook_vpn(){
    Java.perform(function (){
        var String = Java.use("java.lang.String");
        var NetworkInterface = Java.use("java.net.NetworkInterface");
        NetworkInterface.getName.implementation = function (){
            var result = this.getName();
            console.log("find getName：", result);
            if (result && (result.indexOf("ppp0") > -1 || result.indexOf("tun0") > -1)){
                result = String.$new("rmnet_data0");
            }
            return result;
        }

        var ConnectivityManager = Java.use("android.net.ConnectivityManager");
        ConnectivityManager.getNetworkCapabilities.implementation = function (arg){
            var result = this.getNetworkCapabilities(arg);
            console.log("find getNetworkCapabilities：", result);
            return null;
        }
        Java.use("android.net.NetworkCapabilities").hasTransport.implementation = function(v){
            console.log(v)
            var res = this.hasTransport(v)
            console.log("res hasTransport ==> ", res)
            return false;
        }

    })
}

setImmediate(hook_vpn);

需要先运行好Frida环境，然后执行frida -UF -l 代码脚本.js，就能hook到运行中的app
在这里插入图片描述

这里刷新页面，重新加载就能绕过检测了
在这里插入图片描述

证书单向校验（sslpinning）检测

场景

在charles抓包下，某斑马app在注册时发现点击登录毫无反应，看抓包结果提示SSL handshake with client failed，确定是触发了SSL/TLS Pinning（证书锁定）
在这里插入图片描述

关闭charles抓包后，再次点击登录可以看到有请求成功
在这里插入图片描述

检测原理

SSL/TLS Pinning（证书锁定），也叫作单向认证，其将服务器提供的SSL/TLS证书内置到移动端开发的App客户端中，当客户端发起请求时，通过比对内置的证书和服务器端证书的内容，以确定这个连接的合法性。

Android7.0以上的系统版本，应用不再信任用户自己安装的用户证书，一般应用只信任系统预装证书或者是自身的内置证书，导致SSL/TLS Pinning（证书锁定），用charles或者fiddler无法抓取数据包。这种情况下，App会返回网络出错，且无法获取数据的信息，也就出现了上面出现的情况了。

不过在需要查看发包情况时，就需要解决SSL/TLS Pinning了

绕过方式

降低系统版本

使用Android7.0以下的系统版本

将服务器证书添加到系统证书

这个需要能拿到服务器证书（比较麻烦），且要添加进系统级证书中（参考：Windows与Android实现Charles证书设置）。

采用Xposed框架和JustTrustMe模块或者sslunpining模块

这两个模块可以通过Xposed仓库下载或者GITHUB下载导入
GITHUB：JustTrustMe、sslunpining
以sslunpining模块为例，开启之后需要重新打开app就能绕过检测了。
在这里插入图片描述

Frida Objection绕过

Objection 是基于 Frida 框架开发的一个工具，它提供了一组便捷的功能和脚本，以简化在移动应用程序中使用 Frida 进行动态分析和漏洞利用的过程。
安装：pip install objection

由于Objection依赖Frida，在运行Objection前需要先运行Frida
启动命令：objection -g 包名 explore
题外话：如果不知道报名，可以打印当前activity的信息查看包名adb shell dumpsys activity | grep packageName
在这里插入图片描述
使用Objection控制app后，输入android sslpinning disable后就可以绕过了。

hooker工具包

hooker是一个基于frida实现的逆向工具包。为逆向开发人员提供统一化的脚本包管理方式、通杀脚本、自动化生成hook脚本、内存漫游探测activity和service、firda版JustTrustMe、disable ssl pinning
下载地址：github
虽然项目不支持windows，我们只拿disable ssl pinning相关的脚本
使用js/just_trust_me.js脚本hook也能绕过检测

HTTPS 修改为 HTTP

sslpinning是针对SSL证书校验，如果把https请求改为http就不会有这个问题了

替换 app 中 https 的 url 为 http，hook到net的url包修改请求请求url，这样charles就能抓到包了
但是改成http请求容易被服务后台检测到，所以需要使用charles map remote 建⽴映射规则，将 http 映射为 https 发包

题外场景

有些app进入后也会提示网络失败或者内容更新失败，比如某咨询app进去后提示以下信息
在这里插入图片描述
这个时候不能直接定位为被SSL/TLS Pinning检测，需要结合抓包情况分析。根据抓包结果可以确定实际能法宝成功，只是响应结果failed了，实际原因是没有登录服务器没有返回数据，登录后就可以成功拿到数据了。
在这里插入图片描述