手机app抓包，无视SSLPinning

背景：

想要针对手机抓包玩耍一下，charles配置完证书等操作后，结果发现除了游览器能够正常抓包外，绝大部分流行的app都无法抓包[少数主流可以]，许多包抓下来出现如图效果。全都是红色的Connection 200，显示SSL 问题[实际上证书都已配好]

原因：

原理：charles 抓包原理实际上是 https 中间人攻击，只不过我们手动安装并信任了这个中间人的证书。
问题：游览器默认是信任这个证书的，但app不一定啊，app客户端完全可以先验证证书是不是自己公司的，发现不是直接拒绝并停止网络请求[这种技术叫做 SSL Pining，防止中间人攻击]，这就是为什么抓包时很多app看起来像是连不上网的原因。

解决方案[安卓]：

步骤1.
使用一些黑科技框架的前提是，需要root才行。
为了保护自己的手机安全，故在手机上安装一个虚拟机，大名鼎鼎的VirtualXposed。
这里下载并安装到手机就行了。使用上只有两个操作，上滑是查看虚拟机内安装的app，点按钮是打开设置。

步骤2.
下载 JustTrustMe，也是在右边的 release 那里有下载。注意，这里先安装到自己手机上，再打开 VirtualXposed 使用"添加应用"添加到虚拟机里。

步骤3.
把想抓包的app像步骤2那样添加到虚拟机里，然后在虚拟机里打开软件，这时候再看抓包软件的记录，就不再是红色的Connection 200 了。这里我体验了拼多多、B站等几个主流app，完美抓到。当然，这里只能抓http/https的，至于 webSocket 就不行啦。

底层原理：
主要还是在JustTrustMe，查看一下Github主页，原来是修改了系统底层对SSL的校验，难怪需要root.

手机app抓包，无视SSLPinning相关推荐

（实战项目一）手机App抓包爬虫
手机App抓包爬虫 1. items.py class DouyuspiderItem(scrapy.Item):name = scrapy.Field()# 存储照片的名字imagesUrls = ...
常用工具（一）——安卓手机app抓包burpsuite
手机app抓包工具:burpsuite 前提条件 1.保证手机与电脑在同一个无线局域网下 2.找到手机网络位置>打开详情>打开代理选择手动>主机名设为电脑IP(如图) 3.burp ...
使用Fiddler对手机APP抓包详细教程
使用Fiddler对手机APP抓包详细教程在实现用Fiddler对手机APP抓包过程中遇到了两个很棘手的问题,一个是设置代理后手机就上不了网,在手机上下载证书一直提示下载失败,第二个就是在fiddl ...
Fiddler 网页采集抓包利器__手机app抓包
用curl技术开发了一个微信文章聚合类产品,把抓取到的数据转换成json格式,并在android端调用json数据接口加以显示: 基于weiphp做了一个掌上头条插件,也是用的网页采集技术:和一个创业 ...
手机APP抓包问题总结及相关解决方案
App抓包问题总结及相关解决方案文章目录 App抓包问题总结及相关解决方案前言 1 抓包工具的选择 2 常见问题解决 2.1 App正常运行,但是抓包工具中没有对应的请求记录 2.1.1 非HTT ...
爬虫之手机APP抓包教程-亲测HTTP和HTTPS均可实现
当下很多网站都有做自己的APP端产品,一个优秀的爬虫工程师,必须能够绕过难爬取点而取捷径,这是皆大欢喜的.但是在网上收罗和查阅了无数文档和资料,本人亲测无数次,均不能正常获取HTTPS数据,究其原因是 ...
使用Fiddler实现手机APP抓包
手机上无法直接查看网络请求数据,需要使用抓包工具.Fiddler是一个免费的web调试代理,可以用它实现记录.查看和调试手机终端和远程服务器之间的http/https通信. fiddler没有手机客户 ...
在电脑上实现手机app抓包
首先下载一个手机模拟器个人推荐逍遥安卓这个模拟器下载手机抓包工具packet capture 下载地址 https://pan.baidu.com/s/1GUl2XfGzLx-CgcS4rskd ...
使用Fiddler对手机App抓包
一.Fiddler配置 1.配置fiddler允许监听到https:(fiddler默认只抓取http格式的) 点击Tools>Options 选择HTTPS栏,勾选Capture HTTPS ...

手机app抓包，无视SSLPinning

背景：

原因：

解决方案[安卓]：

手机app抓包，无视SSLPinning相关推荐

最新文章

热门文章