利用Frida绕过Android App（途牛apk）的SSL Pinning

0x00 前言

做APP测试过程中，使用burp无法抓到数据包或提示网络错误可能是因为APP启用了SSL Pinning，刚好最近接触到途牛apk就是这种情况，于是便有了本文。

0x01 SSL Pinning原理

SSL Pinning即证书锁定，将服务器提供的SSL/TLS证书内置到移动端开发的APP客户端中，当客户端发起请求时，通过比对内置的证书和服务器端证书的内容，以确定这个连接的合法性。

0x02 环境

Win10
安卓模拟器（夜神模拟器）
Burp
Frida（Python 3.7）
adb工具
apk（途牛apk）

0x03 利用Frida绕过SSL Pinning

绕过原理：
客户端请求时会将内置的证书与服务端的证书做一次性校验，通过hook的方式将此次校验的结果返回true或者干脆不让其做校验即可以绕过。当安卓APP初始化SSLContext时，我们使用frida劫持SSLContext.init方法，使用我们自己创建的TrustManager , 把它作为实参传入SSLContext.init方法的第二个参数( SSLContext.init(KeyManager，TrustManager，SecuRandom) 。这样就能使得APP信任我们的CA，以上操作都是通过一个js脚本注入实现的。

1. 利用adb连接安卓模拟器

这里我们使用的是夜神模拟器，它默认使用Android 5版本的，就是因为这个点，这里踩坑踩了很久，夜神的Android版本低会导致下面在启用Frida-server时报错，因此这里需要使用Android 7以上。
Android低版本报错如下

夜神模拟器创建高版本Android 7并启动
利用adb连接模拟器，夜神模拟器adb连接默认是连接本机的62001端口，可是这里因为是新建的可能端口会有所变化，不过也还是在62001附近，可以使用netstat -ano查看一下本机端口，我这里是62041端口，如下所示代表连接成功

adb connect 127.0.0.1:62025 #连接设备
adb devices #查看设备

2. 设置burp证书

先在burp里设置本机代理

访问代理地址并下载burp证书

将下载的burp证书导入到模拟器中/data/local/tmp目录下，并重命名为cert-der.crt（此名称在接下来的fridascript.js脚本中使用，如果该名字命名为其他则脚本中相对应的地方也需要进行替换）

adb push cacert.der /data/local/tmp/cert-der.crt

3. 模拟器设置代理

在安卓模拟器设置->wlan选择对应网络设置代理

4. Frida设置

Python frida包安装

W