搜索

[20332] 2020-06-15_Android（SSLTLSPinning)&SSLPinningBypass

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-06-15_Android（SSLTLSPinning)&SSLPinningBypass A n d r o i d （ S S L / T L S   P i n n i n g )   &   S S L   P i n n i n g   B y p a s s K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 6 - 1 5 以 下 文 章 来 源 于 学 安 全   ， 作 者 l y x h h 前 言 前 言 相 信 大 家 都 用 过 J u s t T r u s t M e 这 个 X p o s e d 插 件 ， 但 是 为 什 么 要 用 ， 它 是 拿 来 干 啥 的 ， 估 计 大 部 门 人 都 会 有 点 懵 逼 ， 一 开 始 我 用 的 时 候 就 是 一 脸 懵 逼 ， 网 上 的 资 料 都 告 诉 你 要 安 装 这 个 插 件 ， 但 是 为 什 么 要 装 却 没 有 讲 的 很 清 楚 ， 下 面 以 A n d r o i d 开 发 的 角 度 来 一 一 讲 述 下 J u s t T r u s t M e 这 个 插 件 的 作 用 以 及 原 理 。 S S L   P i n n i n g A n d r o i d   证 书 固 定 写 法 如 下 （ 以 U R L C o n n e c t i o n 为 例 ） ： 学 安 全 学 安 全   . 学 习 安 全 知 识 ， 记 录 学 习 路 上 的 点 点 滴 滴 ， 包 括 但 不 限 于 渗 透 测 试 ， 代 码 审 计 ， 逆 向 分 析 等 。
当 访 问 的 域 名 是   预 埋 证 书 内 的 域 名 预 埋 证 书 内 的 域 名 时 ， 正 常 返 回 数 据 ， 如 下 ： 当 访 问   非 预 埋 证 书 内 的 域 名 非 预 埋 证 书 内 的 域 名 时 ， 如 百 度 ， 结 果 如 下 ： 显 示 证 书 链 错 误 ， 显 示 证 书 链 错 误 ， 也 就 是 说 证 书 固 定 ， 只 能 访 问 预 埋 证 书 内 的 域 名 只 能 访 问 预 埋 证 书 内 的 域 名 ， 访 问 其 他 的 域 名 都 会 报 错 ， 从 而 导 致 了 我 们 在 使 用 b u r p 抓 包 时 ， 会 出 现 抓 不 到 数 据 包 的 情 况 。 当 手 机 设 置 了 b u r p 代 理 ， 流 量 会 经 过 b u r p ， 会 读 取 b u r p 的 h t t p s 证 书 ， 由 于 b u r p 的 证 书 不 是 a p p 内 预 埋 的 ， 导 致 请 求 失 败 ， b u r p 的
A l e r t s 选 项 卡 中 会 出 现 错 误 ， 具 体 如 下 ： S S L   P i n n i n g 成 功 的 防 止 了 大 多 数 的 中 间 人 攻 击 。 S S L   P i n n i n g   B y p a s s 绕 过 也 很 简 单 ， 通 过 h o o k 的 方 式 ， 将 S S L C o n t e x t 实 例 绑 定 的 T r u s t M a n a g e r 置 为 空 实 现 ， 具 体 代 码 如 下 （ F r i d a 实 现 ） ： f u n c t i o n   A n d r o i d M a i n ( ) { v a r   X 5 0 9 T r u s t M a n a g e r   =   J a v a . u s e ( ' j a v a x . n e t . s s l . X 5 0 9 T r u s t M a n a g e r ' ) ; v a r   T r u s t M a n a g e r ;   t r y   {     T r u s t M a n a g e r   =   J a v a . r e g i s t e r C l a s s ( {       n a m e :   ' o r g . w o o y u n . T r u s t M a n a g e r ' ,       i m p l e m e n t s :   [ X 5 0 9 T r u s t M a n a g e r ] ,       m e t h o d s :   {         c h e c k C l i e n t T r u s t e d :   f u n c t i o n ( c h a i n ,   a u t h T y p e )   { } ,         c h e c k S e r v e r T r u s t e d :   f u n c t i o n ( c h a i n ,   a u t h T y p e )   { } ,         g e t A c c e p t e d I s s u e r s :   f u n c t i o n ( )   {           r e t u r n   [ ] ;         }       }     } ) ;     v a r   T r u s t M a n a g e r s   =   [ T r u s t M a n a g e r . $ n e w ( ) ] ;     v a r   S S L C o n t e x t   =   J a v a . u s e ( ' j a v a x . n e t . s s l . S S L C o n t e x t ' ) ;                                 S S L C o n t e x t . i n i t . o v e r l o a d ( ' [ L j a v a x . n e t . s s l . K e y M a n a g e r ; ' ,   ' [ L j a v a x . n e t . s s l . T r u s t M a n a g e r ; ' ,   ' j a v a . s e c u r i t y . S e c u r e R a n d o m '     c o n s o l e . l o g ( " 执 行 替 换 " )     t h i s . i n i t . o v e r l o a d ( ' [ L j a v a x . n e t . s s l . K e y M a n a g e r ; ' ,   ' [ L j a v a x . n e t . s s l . T r u s t M a n a g e r ; ' ,   ' j a v a . s e c u r i t y . S e c u r e R a n d o m ' ) . c a l l ( }   }   c a t c h   ( e )   {     c o n s o l e . l o g ( " e r r o r :     "   +   e . m e s s a g e ) ;   } } 通 过 H T T P D e c r y p t 加 载 脚 本 ， 继 续 访 问   非 预 埋 证 书 内 的 域 名 非 预 埋 证 书 内 的 域 名 时 ， 如 百 度 ， 结 果 如 下 ： T h e   c l i e n t   f a i l e d   t o   n e g o t i a t e   a n   S S L   c o n n e c t i o n   t o   t e s t . l x h s e c . c o m : 4 4 3 :   R e c e i v e d   f a t a l   a l e r t :   c e r t i f i c a t e _ u n k n o w n
b u r p 抓 包 也 是 o k 的 ， 如 下 ： 而 J u s t T r u s t M e 这 个 X p o s e d 插 件 的 原 理 ， 就 是 将 不 同 ( 尽 可 能 多 ) 的 请 求 库 （ U R L C o n n e c t i o n 、 o k h t t p 等 ） 的 证 书 固 定 写 法   针 对 性 的 替 换 为 空 实 现 ， 从 而 让 测 试 人 员 遇 到 A p p 证 书 固 定 时 可 以 直 接 抓 到 数 据 包 进 行 测 试 。 上 述 代 码 以 及 f r i d a 完 整 代 码 都 打 包 到 网 盘 了 ， 回 复 s s l 1 即 可 下 载 。 持 久 性 还 得 靠 X p o s e d 、 用 F r i d a 只 图 一 乐 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理