【逆向】利用Objection实现移动应用抓取https流量

傷城~ 2024-04-17 11:35 44阅读 0赞

--------------------

那女孩对我说  
说我保护她的梦  
说这个世界  
对她这样的不多  
她渐渐忘了我  
但是她并不晓得  
遍体鳞伤的我  
一天也没再爱过  
? 黄义达《那女孩对我说》

--------------------

在移动应用开发和安全测试中，抓包是一项重要的技能，它可以帮助开发者和安全研究人员理解应用与服务器之间的通信过程，发现可能的安全问题。Objection是一款强大的运行时移动应用审计工具，它基于Frida（一款动态代码插桩工具），支持对iOS和Android应用进行安全评估，无需进行繁琐的越狱或root操作。本文将介绍如何使用Objection对移动应用进行抓包分析。

### 准备工作 ###

在开始之前，确保你已经准备好以下条件：

安装了Python环境和pip。  
安装了Node.js和npm。  
安装了Frida。可以通过pip install frida-tools安装。  
安装了Objection。可以通过pip install objection安装。  
一个已连接的Android或iOS设备，或者配置好的模拟器。确保设备已开启开发者模式并启用了USB调试。  
安装Objection  
如果你还没有安装Objection，可以通过pip轻松安装：

pip install objection

### 启动Objection和抓包 ###

在开始抓包之前，你需要确保目标应用已安装在你的设备或模拟器上，并且找到应用的包名。以下步骤以Android应用为例，iOS应用的操作类似。

1.  步骤1：查找目标应用的包名  
    你可以通过adb工具查找已安装应用的包名。连接你的设备并执行：
    
        adb shell pm list packages | grep 关键字
    
    用你想要分析的应用名称替换关键字，这将帮助你快速定位包名。
2.  步骤2：使用Objection注入应用  
    找到包名后，使用Objection对应用进行注入：
    
        objection -g 包名 explore
    
    这条命令将启动Objection并注入目标应用。如果成功，你会看到Objection的交互式Shell。
3.  步骤3：启动抓包  
    在Objection的Shell中，你可以执行各种命令来审计应用。为了抓取HTTP/HTTPS包，可以使用以下命令启动抓包：
    
        android sslpinning disable
    
    这条命令尝试禁用目标应用中的SSL Pinning机制，以允许中间人攻击（MITM）工具（如Burp Suite或Charles）成功抓取加密的HTTPS流量。
    
    然后，你可以设置代理，使得设备的流量通过MITM工具：
    
        network.setup.proxy <代理IP> <代理端口>
    
    请替换<代理IP>和<代理端口>为你的MITM工具监听的IP地址和端口。

### 分析抓包数据 ###

在Objection和MITM工具配置完成后，你可以开始操作移动应用，并在MITM工具中观察和分析流经代理的数据包。这可以帮助你理解应用的网络通信过程，识别潜在的安全问题。

### 总结 ###

Objection是一个功能强大的工具，可以帮助开发者和安全研究人员在不越狱或root的情况下对移动应用进行深入的安全审计。通过与MITM工具结合使用，Objection可以有效地协助进行抓包分析，揭示应用的网络通信细节和安全漏洞。希望本文能帮助你掌握使用Objection进行移动应用抓包的技能。