最近几次测试 APP 时，遇到过几次非 http/https 通信的情况，burp、fiddler 等 http 代理工具都无法正常抓到包，经过分析发现 app 是通过 socket 通信的，所以写出来记录下。
socket 与 websocket
先来区别下 socket 与 websocket，因为我们在使用 burpsuite 和 fiddler 时，发现 burp 和 fiddler 都是可以抓 websocket 的，所以有必要先区别一下，从本质上来说二者关系并不大，甚至说没啥关系，盗用一张图来说明下二者关系，读者可自行百度、谷歌检索二者关系。
socket 抓包思路
为了方便理解，我们自己可以实现一个简单的通过 socket 通信的 APP 和与之其对应的 Server，实现一个简单功能，客户端 APP 发送 socket 消息，模拟平时项目中 APP 调用 socket 相关接口通信，同时接收服务端下发的 socket 消息，客户端 APP 运行如下所示：
服务端通过 ServerSocket 构造器实现 socket 监听绑定即可，运行如下所示：
以上，就简单实现了一个通过 socket 通信的 c/s，通过这种方式发送的数据包，burp 和 fiddler 之类的代理工具是无法抓到的，因为他们本来就属于 http/https/websocket 代理工具，对 socket 是无能为力的，所以我们需要换些思路。
tcpdump+wireshark
这种方式抓包非常通用，不光针对 socket 方式，http/https 等等也是可以的，因为这些两种抓包工具都是直接对流经网卡的数据包进行捕获，不存在区别信息传递使用什么协议，可以通过 tcpdump 将数据包保存成 pcap 格式，然后用 wireshark 打开进行分析，来看下用 tcpdump 抓到的数据包：
客户端发送的数据包
服务端接收的数据包
tcpdump 显示数据包格式不是很友好，导入到 wireshark 或者可用 wireshark 直接抓包，分析起来就比较容易了，可以看到数据传输是通过 socket 传输的：
hook 方式抓包
上述方法虽然抓包很好，但是对于渗透测试来说，我们不仅仅要看到数据包内容，更重要的是还能修改数据包，所以这里还可以使用 hook 方式抓包，在实现 socket 通信的过程，客户端(基于 android6.0 系统)发送消息需要会调用java.io.OutputStream.write() 方法，也有可能是 java.io.PrintWriter.write() 方法，这里以java.io.OutputStream.write 方法为例，这个方法有三个重载，分别是 write(byte[] buffer)、write(int oneByte)、write(byte[] buffer, int offset, int count)，通过去阅读 android 源码，可以发现，三者调用关系为 write(byte[] buffer)-> write(byte[] buffer, int offset, int count)-> write(int oneByte)，这里直接把源码粘贴过来，方便大家看：
/** Licensed to the Apache Software Foundation (ASF) under one or more* contributor license agreements. See the NOTICE file distributed with* this work for additional information regarding copyright ownership.* The ASF licenses this file to You under the Apache License, Version 2.0* (the "License"); you may not use this file except in compliance with* the License. You may obtain a copy of the License at** http://www.apache.org/licenses/LICENSE-2.0** Unless required by applicable law or agreed to in writing, software* distributed under the License is distributed on an "AS IS" BASIS,* WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.* See the License for the specific language governing permissions and* limitations under the License.*/package java.io;import java.util.Arrays;/*** A writable sink for bytes.** <p>Most clients will use output streams that write data to the file system* ({@link FileOutputStream}), the network ({@link java.net.Socket#getOutputStream()}/{@link* java.net.HttpURLConnection#getOutputStream()}), or to an in-memory byte array* ({@link ByteArrayOutputStream}).** <p>Use {@link OutputStreamWriter} to adapt a byte stream like this one into a* character stream.** <p>Most clients should wrap their output stream with {@link* BufferedOutputStream}. Callers that do only bulk writes may omit buffering.** <h3>Subclassing OutputStream</h3>* Subclasses that decorate another output stream should consider subclassing* {@link FilterOutputStream}, which delegates all calls to the target output* stream.** <p>All output stream subclasses should override both {@link* #write(int)} and {@link #write(byte[],int,int) write(byte[],int,int)}. The* three argument overload is necessary for bulk access to the data. This is* much more efficient than byte-by-byte access.** @see InputStream*/public abstract class OutputStream implements Closeable, Flushable {/*** Default constructor.*/public OutputStream() {}/*** Closes this stream. Implementations of this method should free any* resources used by the stream. This implementation does nothing.** @throws IOException* if an error occurs while closing this stream.*/public void close() throws IOException {/* empty */}/*** Flushes this stream. Implementations of this method should ensure that* any buffered data is written out. This implementation does nothing.** @throws IOException* if an error occurs while flushing this stream.*/public void flush() throws IOException {/* empty */}/*** Equivalent to {@code write(buffer, 0, buffer.length)}.*/public void write(byte[] buffer) throws IOException {write(buffer, 0, buffer.length);}/*** Writes {@code count} bytes from the byte array {@code buffer} starting at* position {@code offset} to this stream.** @param buffer* the buffer to be written.* @param offset* the start position in {@code buffer} from where to get bytes.* @param count* the number of bytes from {@code buffer} to write to this* stream.* @throws IOException* if an error occurs while writing to this stream.* @throws IndexOutOfBoundsException* if {@code offset < 0} or {@code count < 0}, or if* {@code offset + count} is bigger than the length of* {@code buffer}.*/public void write(byte[] buffer, int offset, int count) throws IOException {Arrays.checkOffsetAndCount(buffer.length, offset, count);for (int i = offset; i < offset + count; i++) {write(buffer[i]);}}/*** Writes a single byte to this stream. Only the least significant byte of* the integer {@code oneByte} is written to the stream.** @param oneByte* the byte to be written.* @throws IOException* if an error occurs while writing to this stream.*/public abstract void write(int oneByte) throws IOException;/*** Returns true if this writer has encountered and suppressed an error. Used* by PrintStreams as an alternative to checked exceptions.*/boolean checkError() {return false;}}
所以理论上我们去 hook write(byte[] buffer) 这个方法就可以了，这个 hook 代码代码非常简单，这里就不做展示了，可以看看 hook 结果：
到这里，能够 hook 到，就可以按照我们的需求来修改数据包了，当然，我们也需要找一个 APP 来实战下，在市场上的 APP 是否真的有效。
objection
前一篇文章讲 objection 的使用，这里正好可以用 objection watch 一下 java.io.OutputStream 输出流，发现这里面有 close、flush、write 三个方法
Watch 一下 write 方法，观察 app 在处理业务时，是否有该方法的调用
通过 objection 对 write 方法的跟踪，发现确实 socket 通信调用了 write 方法，而且通过堆栈信息，我们还发现了疑似发送数据包的方法，send、request，这里尝试 hook send 方法，发现果然是有用的，输出信息如下：
综上就是最近遇到的关于 socket 抓包的一点想法和实践，虽然平时测试很少遇到 socket 通信的，但是遇到了，就需要解决不是么？不知道大佬们还有没有更好的思路，如果有，还请告诉我。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论