Скрипты Frida для перехвата на мобильных устройствах

Часть HTTP Toolkit: мощные инструменты для создания, тестирования и отладки HTTP(S)

В этом репозитории содержатся Frida-скрипты, предназначенные для выполнения всего, что необходимо для полностью автоматизированного HTTPS MitM-перехвата на мобильных устройствах.

Этот набор скриптов можно использовать целиком — для организации перехвата, управления доверием к сертификатам и отключения проверок certificate pinning и certificate transparency — для MitM-перехвата HTTP(S)-трафика на Android и iOS. Также их можно использовать и настраивать по отдельности, чтобы хукать только отдельные функции.

Скрипты могут автоматически:

• Перенаправление трафика на HTTP(S)-прокси — изменение как системных настроек, так и прямое перенаправление всех socket-соединений.
• Внедрение заданного CA-сертификата в системные хранилища доверия, чтобы он по умолчанию доверялся при соединениях.
• Патчинг многих (всех?) известных средств certificate pinning и certificate transparency, чтобы перехват с помощью вашего CA-сертификата был возможен даже там, где это активно блокируется.
• На Android в качестве запасного варианта: автоматическое обнаружение оставшихся ошибок pinning, чтобы попытаться автоматически пропатчить обфусцированный certificate pinning (в полностью обфусцированных приложениях первый запрос может завершиться неудачей, но это вызовет дополнительный патчинг, чтобы все последующие запросы работали корректно).
• Отключение множества распространённых проверок обнаружения root и джейлбрейка.
• Блокировка большинства HTTP/3-соединений (всего UDP-трафика на порт 443), которые могут быть неудобны для перехвата, что заставляет приложения возвращаться к HTTP/2 или HTTP/1.

Руководство по началу работы с Android

1. Запустите ваш MitM-прокси (например, HTTP Toolkit) и настройте рутированное Android-устройство или эмулятор, подключённые к ADB.
2. Узнайте порт вашего MitM-прокси (например, 8000) и его CA-сертификат в формате PEM
   • CA-сертификат должен начинаться с -----BEGIN CERTIFICATE-----. Вы можете открыть его в текстовом редакторе, чтобы увидеть и извлечь это содержимое.
   • В HTTP Toolkit обе детали можно найти в опции «Anything» на странице Intercept.
3. Откройте config.js и добавьте эти детали:
   • CERT_PEM: ваш CA-сертификат в формате PEM.
   • PROXY_PORT: порт прокси
   • PROXY_HOST: адрес вашего прокси с точки зрения вашего устройства (или используйте adb reverse tcp:$PORT tcp:$PORT, чтобы пробросить порт через ADB, и используйте 127.0.0.1 в качестве хоста)
4. Установите и запустите Frida на вашем устройстве
   • Действия здесь могут зависеть от вашего конкретного устройства и конфигурации.
   • Например: загрузите соответствующий frida-server с github.com/frida/frida, распакуйте его, выполните adb push на устройство, а затем запустите его следующими 4 командами: adb shell, su, chmod +x /.../frida-server, /.../frida-server.
   • Если у вас возникли проблемы, не забудьте проверить, что устройство включено и подключено (с помощью adb devices) перед выполнением команд. Обратите внимание, что Frida будет работать на устройстве только от имени root, что и обеспечивает su в примере выше при запуске на рутированном устройстве. Чтобы проверить, что вы root после выполнения su или аналогичной команды, убедитесь, что whoami в оболочке выводит root.
5. Найдите package id приложения, которое вас интересует (для быстрой проверки попробуйте использовать github.com/httptoolkit/android-ssl-pinning-demo — package id: tech.httptoolkit.pinning_demo)
6. Используйте Frida для запуска нужного приложения с внедрёнными скриптами (начиная с config.js). Какие скрипты использовать — решать вам, но для Android хорошей стартовой командой будет:

   frida -U \
       -l ./config.js \
       -l ./native-connect-hook.js \
       -l ./native-tls-hook.js \
       -l ./android/android-proxy-override.js \
       -l ./android/android-system-certificate-injection.js \
       -l ./android/android-certificate-unpinning.js \
       -l ./android/android-certificate-unpinning-fallback.js \
       -l ./android/android-disable-root-detection.js \
       -f $PACKAGE_ID
   

7. Исследуйте, изучайте и изменяйте весь интересующий вас трафик! Если у вас возникнут проблемы, пожалуйста, откройте issue и помогите сделать эти скрипты ещё лучше.

Руководство по началу работы с iOS