Скрипты Frida для перехвата на мобильных устройствах

Часть HTTP Toolkit: мощные инструменты для создания, тестирования и отладки HTTP(S)

В этом репозитории содержатся Frida-скрипты, предназначенные для выполнения всего, что необходимо для полностью автоматизированного HTTPS MitM-перехвата на мобильных устройствах.

Этот набор скриптов можно использовать целиком — для организации перехвата, управления доверием к сертификатам и отключения проверок certificate pinning и certificate transparency — для MitM-перехвата HTTP(S)-трафика на Android и iOS. Также их можно использовать и настраивать по отдельности, чтобы хукать только отдельные функции.

Скрипты могут автоматически:

• Перенаправление трафика на HTTP(S)-прокси — изменение как системных настроек, так и прямое перенаправление всех socket-соединений.
• Внедрение заданного CA-сертификата в системные хранилища доверия, чтобы он по умолчанию доверялся при соединениях.
• Патчинг многих (всех?) известных средств certificate pinning и certificate transparency, чтобы перехват с помощью вашего CA-сертификата был возможен даже там, где это активно блокируется.
• На Android в качестве запасного варианта: автоматическое обнаружение оставшихся ошибок pinning, чтобы попытаться автоматически пропатчить обфусцированный certificate pinning (в полностью обфусцированных приложениях первый запрос может завершиться неудачей, но это вызовет дополнительный патчинг, чтобы все последующие запросы работали корректно).
• Отключение множества распространённых проверок обнаружения root и джейлбрейка.
• Блокировка большинства HTTP/3-соединений (всего UDP-трафика на порт 443), которые могут быть неудобны для перехвата, что заставляет приложения возвращаться к HTTP/2 или HTTP/1.

Руководство по началу работы с Android

1. Запустите ваш MitM-прокси (например, HTTP Toolkit) и настройте рутированное Android-устройство или эмулятор, подключённые к ADB.
2. Узнайте порт вашего MitM-прокси (например, 8000) и его CA-сертификат в формате PEM
   • CA-сертификат должен начинаться с -----BEGIN CERTIFICATE-----. Вы можете открыть его в текстовом редакторе, чтобы увидеть и извлечь это содержимое.
   • В HTTP Toolkit обе детали можно найти в опции «Anything» на странице Intercept.
3. Откройте config.js и добавьте эти детали:
   • CERT_PEM: ваш CA-сертификат в формате PEM.
   • PROXY_PORT: порт прокси
   • PROXY_HOST: адрес вашего прокси с точки зрения вашего устройства (или используйте adb reverse tcp:$PORT tcp:$PORT, чтобы пробросить порт через ADB, и используйте 127.0.0.1 в качестве хоста)
4. Установите и запустите Frida на вашем устройстве
   • Действия здесь могут зависеть от вашего конкретного устройства и конфигурации.
   • Например: загрузите соответствующий frida-server с github.com/frida/frida, распакуйте его, выполните adb push на устройство, а затем запустите его следующими 4 командами: , , , .

Руководство по началу работы с iOS

1. Запустите ваш MitM-прокси (например, HTTP Toolkit) и настройте ваше джейлбрейкнутое iOS-устройство, подключённое к компьютеру.
2. Узнайте порт вашего MitM-прокси (например, 8000) и его CA-сертификат в формате PEM
   • CA-сертификат должен начинаться с -----BEGIN CERTIFICATE-----. Вы можете открыть его в текстовом редакторе, чтобы увидеть и извлечь это содержимое.
   • В HTTP Toolkit обе детали можно найти в опции «Anything» на странице Intercept.
3. Откройте config.js и добавьте эти детали:
   • CERT_PEM: ваш CA-сертификат в формате PEM.
   • PROXY_PORT: порт прокси
   • PROXY_HOST: адрес вашего прокси с точки зрения вашего устройства
4. Установите и запустите Frida на вашем устройстве
   • Действия здесь могут зависеть от вашего конкретного устройства и конфигурации, но в целом это доступно через Cydia/Sileo и т.п., используя https://build.frida.re в качестве источника пакетов.
   • Убедитесь, что вы можете выполнить frida-ps -Uai на вашем компьютере, чтобы подтвердить, что всё работает правильно.
5. Найдите id нужного приложения через frida-ps -Uai (для быстрой проверки попробуйте использовать github.com/httptoolkit/ios-ssl-pinning-demo — id: )

Скрипты

Приведённые выше команды используют все соответствующие скрипты, но в целом вы можете использовать любой их набор. Однако почти во всех случаях вам потребуется включить config.js первым скриптом (он определяет некоторые переменные, используемые другими скриптами).

Например, чтобы выполнить только отключение pinning на Android, когда конфигурация прокси и сертификатов обрабатывается в другом месте и без запасных вариантов для обфускации, вы можете просто запустить:

frida -U \
    -l ./config.js \
    -l ./android/android-certificate-unpinning.js
    -f $PACKAGE_ID

Каждый скрипт содержит подробную документацию о том, что он делает и как работает, в большом блоке комментариев в начале. Скрипты:

• config.js

  Этот скрипт определяет переменные, используемые другими скриптами:

  • CERT_PEM — дополнительный CA-сертификат, которому следует доверять, в формате PEM
  • PROXY_HOST — IP-адрес (IPv4) прокси-сервера для использования (не требуется, если вы только выполняете отключение pinning)
  • PROXY_PORT — порт прокси-сервера для использования (не требуется, если вы только выполняете отключение pinning)
  • DEBUG_MODE — по умолчанию false, но переключение на true включит множество дополнительного вывода, который может быть полезен для отладки и реверс-инжиниринга любых проблем.
  • BLOCK_HTTP3 — по умолчанию true, что блокирует HTTP/3 путём отбрасывания всех UDP-соединений на порт 443.

  Этот скрипт должен быть указан в командной строке перед любыми другими скриптами.

• native-connect-hook.js

  Захватывает весь сетевой трафик напрямую, направляя все соединения на настроенные хост и порт прокси.

  Это низкоуровневый хук, который применяется ко всем сетевым соединениям. Это гарантирует, что все соединения принудительно перенаправляются на целевой прокси-сервер, даже те, которые игнорируют настройки прокси или устанавливают другие «сырые» socket-соединения, а также блокирует HTTP/3-соединения, если эта функция включена.

Эти скрипты являются частью более широкого проекта HTTP Toolkit, финансируемого через фонд NGI Zero Entrust, учреждённый NLnet при финансовой поддержке программы Next Generation Internet Европейской комиссии. Подробнее на странице проекта NLnet.