Frida 移动端拦截脚本

属于 HTTP Toolkit：用于构建、测试和调试 HTTP(S) 的强大工具

本仓库包含的 Frida 脚本，旨在完成移动设备上全自动 HTTPS MitM 拦截所需的一切工作。

这套脚本可以组合使用，以处理拦截、管理证书信任并禁用证书固定与透明度检查，从而对 Android 和 iOS 上的 HTTP(S) 流量进行 MitM 拦截；也可以独立使用和调整，仅挂钩特定功能。

这些脚本可以自动处理：

将流量重定向到 HTTP(S) 代理 —— 同时修改系统设置并直接重定向所有套接字连接。
将给定的 CA 证书注入系统信任库，使其在默认情况下被连接信任。
修补许多（全部？）已知的证书固定和证书透明度工具，即使在被主动阻止的情况下，也允许通过你的 CA 证书进行拦截。
在 Android 上，作为后备方案：自动检测剩余的固定失败，尝试对混淆的证书固定进行自动修补（在完全混淆的应用中，第一个请求可能失败，但这将触发额外的修补，使所有后续请求正确工作）。
禁用许多常见的 root 和越狱检测。
阻止大多数 HTTP/3 连接（所有到 443 端口的 UDP），因为这类流量可能不便拦截，确保应用回退到 HTTP/2 或 HTTP/1。

Android 入门指南

启动你的 MitM 代理（例如 HTTP Toolkit），并设置已 root 的 Android 设备或模拟器，使其连接到 ADB。
找到你的 MitM 代理端口（例如 8000）及其 PEM 格式的 CA 证书
- CA 证书应以 -----BEGIN CERTIFICATE----- 开头。你可以用文本编辑器打开查看并提取此内容。
- 在 HTTP Toolkit 中，这两个详细信息都可以在“拦截”页面上的“Anything”选项中找到。
打开 config.js，并添加这些详细信息：
- CERT_PEM：你的 PEM 格式 CA 证书。
- PROXY_PORT：代理端口
- PROXY_HOST：从你的设备角度看到的代理地址（或使用 adb reverse tcp:$PORT tcp:$PORT 通过 ADB 转发端口，并将 127.0.0.1 作为主机）
在你的设备上安装并启动 Frida
- 具体步骤可能取决于你的设备和配置。
- 例如：从 github.com/frida/frida 下载相关的 frida-server，解压后通过 adb push 推送到设备，然后用下面 4 条命令运行：adb shell、su、、。

启动你的 MitM 代理（例如 HTTP Toolkit），并设置已越狱的 iOS 设备，使其连接到你的电脑。
找到你的 MitM 代理端口（例如 8000）及其 PEM 格式的 CA 证书
- CA 证书应以 -----BEGIN CERTIFICATE----- 开头。你可以用文本编辑器打开查看并提取此内容。
- 在 HTTP Toolkit 中，这两个详细信息都可以在“拦截”页面上的“Anything”选项中找到。
打开 config.js，并添加这些详细信息：
- CERT_PEM：你的 PEM 格式 CA 证书。
- PROXY_PORT：代理端口
- PROXY_HOST：从你的设备角度看到的代理地址
在你的设备上安装并启动 Frida
- 具体步骤可能取决于你的设备和配置，但通常可通过 Cydia/Sileo 等，使用 https://build.frida.re 作为软件源来安装。
- 确保你可以在电脑上运行 frida-ps -Uai，以确认其正常工作。
通过 frida-ps -Uai 找到你感兴趣应用的 ID（快速测试可尝试 github.com/httptoolkit/ios-ssl-pinning-demo——ID 为 com.httptoolkit.ios-pinning-demo）
使用 Frida 在注入脚本（以 config.js 开头）的情况下启动你感兴趣的应用。使用哪些脚本由你决定，但在 iOS 上，一个不错的启动命令是：

上面的命令使用了所有相关脚本，但你通常可以使用任意子集，尽管在几乎所有情况下，你都应把 config.js 放在第一个脚本的位置（它定义了一些供其他脚本使用的变量）。

例如，如果只在 Android 上单独进行证书固定绕过，而代理和证书配置由其他方式处理，且不需要混淆后备方案，你可以直接运行：

frida -U \
    -l ./config.js \
    -l ./android/android-certificate-unpinning.js
    -f $PACKAGE_ID

每个脚本顶部都有大段注释，详细说明其功能和工作原理。脚本如下：

config.js

该脚本定义了其他脚本使用的变量：
- CERT_PEM - 要信任的额外 CA 证书，PEM 格式
- PROXY_HOST - 要使用的代理服务器 IP 地址（IPv4）（如果只做证书固定绕过则不需要）
- PROXY_PORT - 要使用的代理服务器端口（如果只做证书固定绕过则不需要）
- DEBUG_MODE - 默认为 false，但将其改为 true 会启用大量额外输出，可用于调试和逆向分析问题。
- BLOCK_HTTP3 - 默认为 true，通过丢弃所有到 443 端口的 UDP 连接来阻止 HTTP/3。
该脚本应在命令行中列于其他脚本之前。
native-connect-hook.js

直接捕获所有网络流量，将所有连接路由到配置的代理主机和端口。

这是一个适用于所有网络连接的低层钩子。它确保所有连接都被强制重定向到目标代理服务器，即使是那些忽略代理设置或建立其他原始套接字连接的连接，并在启用时阻止 HTTP/3 连接。

该钩子作用于 libc，适用于 Android、Linux、iOS 及许多其他相关环境。
native-tls-hook.js

修改基于 BoringSSL 的库的所有 TLS 验证，以信任你配置的 CA 证书。

值得注意的是，该脚本挂钩了 iOS 上内置的 BoringSSL API，这是 iOS 处理 TLS 证书验证的常规方式（因此足以满足几乎所有 iOS HTTPS 拦截），但它在 iOS 和 Android 上的其他一些场景中也有使用。

这些脚本是更广泛的 HTTP Toolkit 项目的一部分，由 NGI Zero Entrust Fund 资助，该基金由 NLnet 设立，并得到欧盟委员会下一代互联网计划的财政支持。更多信息请访问 NLnet 项目页面。