Frida モバイル傍受スクリプト

HTTP Toolkit の一部: HTTP(S) の構築・テスト・デバッグのための強力なツール

このリポジトリには、モバイルデバイスでの完全自動化された HTTPS MitM 傍受に必要なすべてを実行するために設計された Frida スクリプトが含まれています。

このスクリプト群は、Android と iOS での HTTP(S) トラフィックの MitM 傍受のために、傍受の処理、証明書の信頼の管理、証明書ピンニングとトランスペアレンシー検証の無効化をまとめて行うためにすべて一緒に使用することもできますし、特定の機能だけをフックするために個別に使用・調整することもできます。

スクリプトは以下を自動的に処理できます:

• トラフィックの HTTP(S) プロキシへのリダイレクト - システム設定の変更と、すべてのソケット接続の直接リダイレクトの両方。
• 指定した CA 証明書をシステムのトラストストアに注入し、接続でデフォルトで信頼されるようにする。
• 既知の証明書ピンニングおよび証明書トランスペアレンシーのツールの多く（すべて?）をパッチし、積極的にブロックされている場合でも自分の CA 証明書による傍受を可能にする。
• Android では、フォールバックとして: 残存するピンニング失敗を自動検出し、難読化された証明書ピンニングの自動パッチを試みる（完全に難読化されたアプリでは、最初のリクエストが失敗する可能性がありますが、これにより追加のパッチがトリガーされ、以降のすべてのリクエストが正しく機能します）。
• 一般的な root 検出と脱獄検出の多くを無効化する。
• ほとんどの HTTP/3 接続（ポート 443 へのすべての UDP）をブロックし、傍受が不便な場合にアプリが HTTP/2 または HTTP/1 にフォールバックするようにする。

Android スタートアップガイド

1. MitM プロキシ（例: HTTP Toolkit）を起動し、ADB に接続された root 化された Android デバイスまたはエミュレータをセットアップします。
2. MitM プロキシのポート（例: 8000）と PEM 形式の CA 証明書を確認します。
   • CA 証明書は -----BEGIN CERTIFICATE----- で始まる必要があります。テキストエディタで開くと、この内容を確認して抽出できます。
   • HTTP Toolkit では、両方の詳細が Intercept ページの 'Anything' オプションにあります。
3. config.js を開き、以下の詳細を追加します:
   • CERT_PEM: PEM 形式の CA 証明書
   • PROXY_PORT: プロキシのポート
   • PROXY_HOST: デバイスから見たプロキシのアドレス（または adb reverse tcp:$PORT tcp:$PORT を使用してポートを ADB 経由で転送し、ホストに 127.0.0.1 を使用します）
4. デバイスに Frida をインストールして起動します。
   • ここでの手順は、特定のデバイスと構成によって異なる場合があります。
   • 例: github.com/frida/frida から関連する frida-server をダウンロードし、解凍して、adb push でデバイスに転送し、次の 4 つのコマンドで実行します: adb shell、su、、。

iOS スタートアップガイド

1. MitM プロキシ（例: HTTP Toolkit）を起動し、コンピュータに接続された脱獄済み iOS デバイスをセットアップします。
2. MitM プロキシのポート（例: 8000）と PEM 形式の CA 証明書を確認します。
   • CA 証明書は -----BEGIN CERTIFICATE----- で始まる必要があります。テキストエディタで開くと、この内容を確認して抽出できます。
   • HTTP Toolkit では、両方の詳細が Intercept ページの 'Anything' オプションにあります。
3. config.js を開き、以下の詳細を追加します:
   • CERT_PEM: PEM 形式の CA 証明書
   • PROXY_PORT: プロキシのポート
   • PROXY_HOST: デバイスから見たプロキシのアドレス
4. デバイスに Frida をインストールして起動します。
   • ここでの手順は、特定のデバイスと構成によって異なる場合がありますが、通常は Cydia/Sileo などから https://build.frida.re をパッケージソースとして利用できます。
   • コンピュータ上で frida-ps -Uai を実行して、正しく動作していることを確認してください。
5. frida-ps -Uai で対象アプリの ID を確認します（簡単なテストには、github.com/httptoolkit/ios-ssl-pinning-demo を使用してみてください。ID は com.httptoolkit.ios-pinning-demo です）
6. Frida を使用して、スクリプトを注入した状態で対象のアプリを起動します（config.js から始めます）。使用するスクリプトは任意ですが、iOS の場合、次のコマンドが良い出発点です:

スクリプト

上記のコマンドは関連するすべてのスクリプトを使用していますが、通常は任意のサブセットを使用できます。ただし、ほぼすべてのケースで config.js を最初のスクリプトとして含める必要があります（他のスクリプトで使用されるいくつかの変数を定義します）。

たとえば、プロキシと証明書の設定を別の場所で処理し、難読化フォールバックなしで、Android でピンニング解除のみを行う場合は、次のように実行できます:

frida -U \
    -l ./config.js \
    -l ./android/android-certificate-unpinning.js
    -f $PACKAGE_ID

各スクリプトには、何を行うか、どのように機能するかについての詳細なドキュメントが先頭の大きなコメントセクションに含まれています。スクリプトは次のとおりです:

• config.js

  他のスクリプトで使用される変数を定義します:

  • CERT_PEM - 信頼する追加の CA 証明書（PEM 形式）
  • PROXY_HOST - 使用するプロキシサーバーの IP アドレス（IPv4）（ピンニング解除のみを行う場合は不要）
  • PROXY_PORT - 使用するプロキシサーバーのポート（ピンニング解除のみを行う場合は不要）
  • DEBUG_MODE - デフォルトは false ですが、これを true にすると、デバッグや問題のリバースエンジニアリングに役立つ追加の出力が多数有効になります。
  • BLOCK_HTTP3 - デフォルトは true で、ポート 443 へのすべての UDP 接続をドロップして HTTP/3 をブロックします。

  これは、他のスクリプトよりも前にコマンドラインで指定する必要があります。

• native-connect-hook.js

  すべてのネットワークトラフィックを直接キャプチャし、すべての接続を設定されたプロキシホストとポートにルーティングします。

  これは すべての ネットワーク接続に適用される低レベルのフックです。これにより、プロキシ設定を無視する接続や他の raw ソケット接続を行う接続も含め、すべての接続が強制的に対象のプロキシサーバーにリダイレクトされ、有効な場合は HTTP/3 接続もブロックされます。

  このフックは libc に適用され、Android、Linux、iOS、およびその他の多くの関連環境で動作します。

• native-tls-hook.js

これらのスクリプトは、より広範な HTTP Toolkit プロジェクトの一部であり、NGI Zero Entrust Fund を通じて資金提供されています。この基金は NLnet によって設立され、欧州委員会の Next Generation Internet プログラムから資金提供を受けています。詳細は NLnet プロジェクトページ をご覧ください。