抓包专题

1.为什么要做抓包专题？
    - 防护，防止你抓包
    - 实现抓包

2.今日概要：客户端证书校验（安居客）
    - 什么是客户端证书校验？
    - 如何绕过？【傻瓜式】
    - 校验的原理 & 绕过的机制

3.什么是客户端证书校验？
    - http请求，没有任何的校验（很少有人http）
    - https请求
        - 唯品会APP，安卓开发者没有在代码中编写验证证书的逻辑。
        - 安居客APP，安卓开发者有在代码中编写验证证书的逻辑。
    - 现象：唯品会APP vs 安居客APP
    - 绕过客户端证书校验，本质：通过Hook机制实现
        - frida  + js代码           -> Hook绕过  【方法1】
        - xposed + java代码         -> Hook绕过
          xposed + justtrustme组件  -> Hook绕过  【方法2】

    3.1 Frida的Hook绕过客户端证书校验
        问题：
            你知道客户端证书校验的代码是怎么实现的？
            如果知道，你就可以了解他是执行的那个方法进行校验。
            直接找到响应的包和方法Hook就能绕过。

        1.去课件中找到 frida_multiple_unpinning.js
        2.frida执行进行hook
        3.运行环境
            Python3.7.9 + frida==16.0.1 + frida-tools==12.0.1

            >>>frida -U -f com.anjuke.android.app -l frida_multiple_unpinning.js

        注意：安居客APP里面有frida检测，先解决frida检测，删除 libmsaoaidsec.so

        总结经验：
            SSL handshake with client failed: An unknown issue occurred processing the certificate (certificate_unknown)
            `尝试`使用frida_multiple_unpinning.js进行Hook绕过

    3.2 xposed + java代码（justtrustme组件）

        1.安装xposed（LSPosed）
            - Magisk面具+ROOT
            - LSPosed是面具的模块（zip）
                第1步：获取LSPosed的zip文件（课件+https://github.com/LSPosed/LSPosed/releases）
                第2步：将zip文件上传到手机
                        adb push 本地目录/xxx.zip  /sdcard/Download/LSPosed-v1.8.4-6609-zygisk-release.zip\
                第3步：在Magisk面具中刷入LSPosed模块
                       - 打开Magisk面具
                       - 点击模块
                       - 本地安装 + 刷入
                       - 手机重启，手机上就会出现lsposed的图标

                       注意：如果没有lsposed图片，就去 `/data/adb/lspd/`  【mt管理器 or np管理】，手动安装
                       注意：如果是未激活

        2.JustTrustMe组件（java代码 -> apk） ->      实现绕过客户端证书校验
            - 安装JustTrustMe组件
                adb install JustTrustMePlus.apk

            - 看到LSPosed组件
                - 打开LSPosed组件中的JustTrustMe组件
                - 配置JustTrustMe组件去Hook指定的APP（重启手机生效）

4.校验的原理 & 绕过的机制
    - 公钥校验（Pinner）
    - 证书校验
    - Host校验

    4.1 公钥校验（Pinner）

        安卓开发工程师：
            - 获取后台的证书PEM文件（后端项目Https部署）
            - PEM文件内容处理
                下载PEM证书 => 转换公钥 => SHA256加密 => Base64编码
                "Zhv4cvwdHmEmE0edWEcIdmLfwsqxrrOmp+vbngwNnrU=""
            - 发送网络请求
                - 以前的网络请求发送
                    OkHttpClient client = new OkHttpClient.Builder().build();
                    Request req = new Request.Builder().url("https://www.baidu.com/?q=defaultCerts").build();
                    Call call = client.newCall(req);
                    try {
                        Response res = call.execute();
                        Log.e("请求成功", "状态码：" + res.code());

                    } catch (IOException ex) {
                        Log.e("请求失败", "异常" + ex);
                    }

                - 客户端校验
                    final String CA_PUBLIC_KEY = "sha256/Zhv4cvwdHmEmE0edWEcIdmLfwsqxrrOmp+vbngwNnrU=";
                    final String CA_DOMAIN = "www.baidu.com";

                    //校验公钥
                    //   1.找到CertificatePinner对象
                    //   2.执行CertificatePinner中的check方法【 证书内容 vs 动态生成 】
                    CertificatePinner pinner = new CertificatePinner.Builder().add(CA_DOMAIN, CA_PUBLIC_KEY).build();

                    OkHttpClient client = new OkHttpClient.Builder().certificatePinner(pinner).build();
                    Request req = new Request.Builder().url("https://www.baidu.com/?q=defaultCerts").build();
                    Call call = client.newCall(req);
                    try {
                       Response res = call.execute();
                       Log.e("请求成功", "状态码：" + res.code());

                    } catch (IOException ex) {
                       Log.e("请求失败", "异常" + ex);


                    }

        完整体验：
            1.【Net01】创建安卓项目 + 发送https网络请求（无客户端证书校验）
            2.【Net02】创建安卓项目 + 发送https网络请求（客户端证书校验）【百度工程师】
                - 下载PEM证书 => 转换公钥 => SHA256加密 => Base64编码 -> Q6TCQAWqP4t+eq41xnKaUgJdrPWqyG5L+Ni2YzMhqdY=
                - 安装APP运行

            3.运行
                - 未抓包（未使用charlse抓包）
                    - Net01  OK
                    - Net02  OK

                - 抓包 + 分析 + 逆向（使用charlse抓包）
                    - Net01  OK    -> 例如 唯品会案例
                    - Net02  异常  -> 例如 安居客

            4.猜想：关于安居客APP
                - 安卓工程师
                    - 提前自己网址-> 下载PEM证书 => 转换公钥 => SHA256加密 => Base64编码
                    - 集成项目

            5.如何绕过？
                # 集成到APP中的公钥
                final String CA_PUBLIC_KEY = "sha256/Q6TCQAWqP4t+eq41xnKaUgJdrPWqyG5L+Ni2YzMhqdY=";
                final String CA_DOMAIN = "www.baidu.com";

                # 进行校验  CertificatePinner.check 方法
                #   - 读取本地集成公钥（sha256+base64)
                #   - 获取请求地址证书（sha256+base64)
                CertificatePinner pinner = new CertificatePinner.Builder().add(CA_DOMAIN, CA_PUBLIC_KEY).build();
                OkHttpClient client = new OkHttpClient.Builder().certificatePinner(pinner).build();
                Request req = new Request.Builder().url("https://www.baidu.com/?q=defaultCerts").build();

                如果要Hook：
                    okhttp3.CertificatePinner.check，如果让check方法不报错。

                再看frida脚本：
                    永远让check不报错。

        答疑：
            1.关于https请求？
            2.抓包不是密文？中间人
            3.我可以拿到任何网站的公钥？
                - 你任职于bilibili公司
                - 开发自己公司APP -> 【APP】 + 【后端API】
                - 根据后端域名 -> 公钥->Base64编码
                - 集成到APP中
                    - 我的APP能正常向我的后端发送请求
                    - 如果有中间人抓包，一定会报错

    4.2 证书校验
        安卓开发工程师：
            - 下载PEM证书 & 放入到APP中
            - ...

        如果绕过？
            ...

    4.3 Host校验

        安卓开发工程师：
            ...

    问题：为什么frida_multiple_unpinning.js有700多行代码？
         - 发送网络请求 okhttp3（几乎）
         - 其他的网络请求 ...

5.感觉：
    如果遇到客户端证书校验？【通杀】
        - Frida的hook脚本
        - xposed+justtrustme组件

    代码混淆问题无法解决。
        APP未混淆：
            okhttp3.CertificatePinner

            var okhttp3_Activity_1 = Java.use('okhttp3.CertificatePinner');
    		okhttp3_Activity_1.check.overload('java.lang.String', 'java.util.List').implementation = function(a, b) {
    			console.log('[+] Bypassing OkHTTPv3 {1}: ' + a);
    			return;
    		};
        APP混淆
            a.c
            b.e
            d.b

            如果想要绕过：
                var okhttp3_Activity_1 = Java.use('a.c');
                okhttp3_Activity_1.bbb.overload('java.lang.String', 'java.util.List').implementation = function(a, b) {
                    console.log('[+] Bypassing OkHTTPv3 {1}: ' + a);
                    return;
                };