Android渗透测试HTTPS证书校验绕过

2022年2月10日22:32:15评论248 views字数 4379阅读14分35秒阅读模式

日常Android渗透过程中，会经常遇见https证书校验（http就不存在证书校验了，直接抓包便可），不能抓取数据包。APP是HTTPS的服务提供方自己开发的客户端，开发者可以先将自己服务器的证书打包内置到自己的APP中，或者将证书签名内置到APP中，当客户端在请求服务器建立连接期间收到服务器证书后，先使用内置的证书信息校验一下服务器证书是否合法，如果不合法，直接断开。

环境

nuexs 5
windows10
burpsuite
jeb3

情况分类

情况1，客户端不存在证书校验，服务器也不存在证书校验。
情况2，客户端存在校验服务端证书，服务器也不存在证书校验，单项校验。
情况3、客户端存在证书校验，服务器也存在证书校验，双向校验。

情况1

1、可以拿到apk文件，利用jeb3反编译apk文件，反编译成功，Ctrl+f -->搜索checkClientTrusted或者checkServerTrusted字符串,如下

Android渗透测试HTTPS证书校验绕过

结果如下:

Android渗透测试HTTPS证书校验绕过

反编译成java代码，如下:

Android渗透测试HTTPS证书校验绕过

分析得知，apk程序客户端与服务端都没有存在证书校验。设置代理，伪造证书，成功抓取数据包。

情况2

1、可以拿到apk文件，利用jeb3反编译apk文件，反编译成功，Ctrl+f -->搜索checkClientTrusted字符串,如下

Android渗透测试HTTPS证书校验绕过

反编译成java代码，如下

Android渗透测试HTTPS证书校验绕过

伪造证书代理，抓取数据包出现如下:

Android渗透测试HTTPS证书校验绕过

存在证书校验，不能成功进行抓取数据包。客户端校验服务端证书，这个过程由于客户端操作，存在不可控因素，可通过客户端进行绕过https校验。

绕过思路1

反编译apk，找到校验证书方法，将校验部分删除，从而变成情况1，成功抓取数据包。如下

利用Androidkiller.exe反编译apk文件，找到checkServerTrusted方法的smali代码：

Android渗透测试HTTPS证书校验绕过

将所有校验部分删除，如下:

Android渗透测试HTTPS证书校验绕过

反编译apk文件，jeb打开重打包的apk。如下

Android渗透测试HTTPS证书校验绕过

安装重打包的apk，运行，设置代理，抓取数据包

Android渗透测试HTTPS证书校验绕过

成功抓到数据包。

绕过思路2

JustTrustMe.apk 是一个用来禁用、绕过 SSL 证书检查的基于 Xposed 模块。JustTrustMe 是将 APK 中所有用于校验 SSL 证书的 API 都进行了 Hook，从而绕过证书检查。xposed的54的可以运行，高版本没有测试，可以自行测试。

使用如下：

Android渗透测试HTTPS证书校验绕过

重启设备，抓取数据包，成功抓取，如下：

Android渗透测试HTTPS证书校验绕过

绕过思路3

Frida进行绕过，Frida安装教程自行百度，可以下载这里脚本。其中application.py脚本，我修改了一下:

# -*- coding: utf-8 -*-

import frida, sys, re, sys, os
import codecs, time

APP_NAME = ""

def sbyte2ubyte(byte):
    return (byte % 256)

def print_result(message):
    print ("[!] Received: [%s]" %(message))

def on_message(message, data):
    if 'payload' in message:
        data = message['payload']
        if type(data) is str:
            print_result(data)
        elif type(data) is list:
            a = data[0]
            if type(a) is int:
                hexstr = "".join([("%02X" % (sbyte2ubyte(a))) for a in data])
                print_result(hexstr)
                print_result(hexstr.decode('hex'))
            else:
                print_result(data)
                print_result(hexstr.decode('hex'))
        else:
            print_result(data)
    else:
        if message['type'] == 'error':
            print (message['stack'])
        else:
            print_result(message)

def main():
    try:
        with codecs.open("hooks.js", 'r', encoding='utf8') as f:
            jscode  = f.read()
            process = frida.get_usb_device().attach(APP_NAME)
            script  = process.create_script(jscode)
            script.on('message', on_message)
            print ("[*] Intercepting on  (pid: )...")
            script.load()
            sys.stdin.read()
    except KeyboardInterrupt:
        print ("[!] Killing app...")

if __name__ == "__main__":
    if (len(sys.argv) > 1):
        APP_NAME = str(sys.argv[1])
        main()
    else:
        print("must input two arg")
        print("For exanple: python application.py packName")

这里以com.flick.flickcheck包名为例，首先pc端运行启动frida服务器脚本startFridaService.py，

# -*- coding: utf-8 -*-
# python3.7
import sys
import subprocess


cmd = ["adb shell","su","cd /data/local/tmp","./frida-server-12-7-11-android-arm64"]


def Forward1():
    s = subprocess.Popen("adb forward tcp:27042 tcp:27042")
    return s.returncode

def Forward2():
    s = subprocess.Popen("adb forward tcp:27043 tcp:27043")
    return s.returncode

def Run():
    s = subprocess.Popen("adb shell", stdin=subprocess.PIPE,stdout=subprocess.PIPE, shell=True)
    for i in range(1,len(cmd)):
        s.stdin.write(str(cmd[i]+"rn").encode("utf-8"))
        s.stdin.flush() 
    return s.returncode

if __name__ == "__main__":
    Forward1()
    print("adb forward tcp:27042 tcp:27042")
    Forward2()
    print("adb forward tcp:27043 tcp:27043")
    print("Android server--->./frida-server-12-7-11-android-arm64")
    print("success-->frida-ps -R")
    Run()