利用Frida手动绕过Android APP证书校验 – 作者:MactavishMeng-安全小百科

最近买了一个TP-Link的摄像头，顺便下载的它配套的安卓应用，想看看这个应用在与服务器交互的时候都发了些啥，因此准备抓包。当我把姿势都摆好了之后，却发现它的流量在Burpsuite里完全没出现。

掏出祖传的XPosed插件SSL Unpinning，竟然没用。emmmm，那可能是进行了混淆，XPosed在Hook的时候需要特定的包名，如果包名被混淆了自然是Hook不到的嘛。

代理流量

在系统里配置了代理却抓不到包，很有可能是因为APP有限制，禁止流量走代理。因为我是在模拟器上安装了这个APP，因此想到了强行代理这个模拟器的流量，看看会怎样。

测试中用的是雷电模拟器，流量转发用的是Proxifier。因此在Proxifier中配置需要拦截流量的进程名为LdBoxHeadless.exe的进程，来强行转发流量到我们的Burp上：

转发成功，现在尝试一下请求，比如找回密码功能，点击“完成”后，返回的提示竟然是“网络连接失败”？？？

同时，Burp收到警告，提示Failed to negotiate a TLS connect to xxx，表示HTTPS握手过程失败。

好吧，果然是限制了流量同时也校验了证书。

查看日志

既然发生了错误，那应该会有相应的报错日志，看看能不能从日志里看出点端倪。

进入adb shell，先输入ps命令查看对应进程的pid，比如这里是 2035 ，在用logcat | grep 2035来过滤出该进程的日志即可。

此时再点击完成按钮，提示“网络连接失败”，查看logcat打出来的日志，发现了证书错误的信息：

反编译dex

看到相关的报错日志，如果有反编译出来的伪代码，看看能不能搜到相关报错的日志的语句来定位到相关代码段，顺藤摸瓜找到校验的函数，再去Hook岂不美滋滋~

先尝试一下反编译，来看看是不是被混淆过。解压apk，使用dex2jar将classes.dex转换成.jar格式，再用Java Decompiler查看。看到包名的时候，发现它确实进行了混淆。

但是并没有看到和常见的 HTTP 相关的组件（比如OKHttp3）相关的包。

将报错日志的部分拆成关键词来搜索也完全搜不到相关的地方，非常让人怀疑实际上这部分逻辑就没写在Java层，很有可能在so里。

分析so

既然如此，进入apk包中的lib文件夹，看看它加载的so里有没有什么特别之处。从so文件的大小和名称中，第一眼就识别到了libIPCAppContextJNI.so文件。果断拖到ida中看看里面有什么。

在ida中加载完之后，果断的打开Strings Window来暴搜字符串。输入verify error:num，看看我发现了什么！

跟进这个字符串的调用，F5，顺利找到打出这句日志的代码：

但是，这个函数是一个回调函数，函数名为TPSSLManager::SSLCtxVerifyCallback，追踪它的调用也没有找到有验证证书相关的操作，似乎又陷入僵局……

因为对证书校验的实现不是很熟悉，打破僵局的方法只能求助于度娘。看到那句日志打印的上一行X509_verify_cert_error_string函数，抱着死马当活马医的心态，扔进搜索引擎，竟然搜到了一堆OPENSSL的证书校验的示例代码！

通过示例代码的注释，发现OPENSSL校验证书的函数名为X509_verify_cert，回到ida里搜了一下，Bingo！

跟进这个函数被调用的地方看了下，和示例代码一样，都是在用if语句在判断这个函数的返回值是1还是0，那初步确认证书校验的点就在此处。

Frida Hook

由于测试是在雷电模拟器里做的，因此需要下载并运行x86版本的Frida-server。给萌新的一个小提示：Frida运行需要关闭SELinux，可以在adb shell中输入setenforce 0来关闭它。

确认函数地址

在写JS脚本之前，先使用Frida的命令行来确认一下要Hook的模块和函数是否可用（个人觉得这样便于调试）。在PC端的命令行输入frida -U com.tplink.ipc连接.

进入后输入Module.findExportByName("libIPCAppContextJNI.so", "X509_verify_cert")应该能打印出X509_verify_cert函数的入口地址，但是竟然返回的是null。此时有点慌了，难道我的判断出错了吗？

果断使用Process.enumerateModules()命令，会在命令行中打印出所有的模块（即加载的so），找了一下发现也没有libIPCAppContextJNI.so，甚至路径几乎都是/system/lib这样系统路径下的文件。

在这里我卡了很久，搜了很多文章，都没有发现问题出在哪了，简直一度就要放弃了，直到我想要不要换真机试一下……简直峰回路转！全都成功了，顺利打印出地址：

如果在模拟器环境里找不到so，搜不到函数，一定要赶快换真机试一下，一定要啊！血的教训！！！

脚本编写 & Hook

接下来就可以编写JS代码来进行Hook了，代码内容也很简单，就是修改这个函数的返回值，让它永远等于1即可：

Java.perform(function(){
    var nativePointer = Module.findExportByName("libIPCAppContextJNI.so", "X509_verify_cert");
    console.log("-------------Start-------------");
    Interceptor.attach(nativePointer, {
        onEnter: function(args){
            // 此处是修改入参要做的逻辑，在这里不需要修改，留空即可
        },
        onLeave: function(retval){
            console.log("----------leaving-------------")
            // 打印原始的返回值
            console.log(retval);
            // replace修改返回值
            retval.replace(0x1)
            // 再次打印出来验证一下修改是否成功
            console.log(retval);
        }
    });
});

把这个文件保存，我命名为hook.js。开启Frida，在忘记密码那里点几下：

(frida) pentest@DESKTOP-2AE07FJ:~/frida$ frida -U com.tplink.ipc -l hook.js
     ____
    / _  |   Frida 12.8.17 - A world-class dynamic instrumentation toolkit
   | (_| |
    > _  |   Commands:
   /_/ |_|       help      -> Displays the help system
   . . . .       object?   -> Display information about 'object'
   . . . .       exit/quit -> Exit
   . . . .
   . . . .   More info at https://www.frida.re/docs/home/
Attaching...
-------------Start-------------
[MI 5s::com.tplink.ipc]-> ----------leaving-------------
0x1
0x1