电脑代理手机抓包时HTTPS证书信任问题

Question

在使用电脑作为代理对手机进行HTTPS抓包时，常见的问题是手机系统或应用不信任电脑代理安装的根证书。即使已手动将Charles或Fiddler生成的CA证书安装至手机受信凭据，部分Android版本（尤其是7.0及以上）和iOS系统仍默认不信任用户添加的证书用于HTTPS流量解密。此外，现代App常采用证书绑定（Certificate Pinning）技术，直接校验服务器证书指纹，绕过系统证书链验证，导致即使代理证书被安装也无法完成SSL握手，从而出现连接失败或抓包空白现象。如何正确配置系统及应用层的证书信任并绕过证书锁定，成为实现完整HTTPS抓包的关键挑战。

Answer 1

使用电脑作为代理对手机进行HTTPS抓包的深度解析与实战方案

1. 问题背景与技术挑战概述

在移动应用开发、安全测试和逆向工程中，通过电脑代理（如Charles、Fiddler、mitmproxy）对手机设备进行HTTPS流量抓包是常见需求。然而，随着Android 7.0+ 和 iOS 系统加强了对用户安装证书的信任策略，以及现代App广泛采用证书绑定（Certificate Pinning）机制，传统的抓包方式面临严重阻碍。

核心问题包括：

• Android 7.0及以上系统默认不信任用户安装的CA证书，仅信任系统级CA；
• iOS系统虽允许安装描述文件，但部分App仍绕过系统验证；
• 证书绑定技术使客户端直接校验服务器证书指纹或公钥，忽略中间人证书；
• 即使代理工具成功拦截TCP连接，SSL握手失败导致连接中断或返回空数据。

2. 根证书信任机制的系统级差异分析

系统版本	用户证书信任策略	典型行为	解决方案方向
Android < 7.0	信任用户安装的CA	可直接导入Charles证书并生效	常规配置即可
Android 7.0 ~ 10	应用可选择是否信任用户CA	需修改App的network-security-config	重打包或动态Hook
Android 11+	默认不信任用户CA，除非显式声明	即使安装证书也无法解密	系统级Root + CA注入
iOS 全版本	需手动信任并启用完全信任选项	设置中需开启“完全信任”	企业签名或越狱环境辅助

3. 抓包流程中的关键环节与失败点定位

完整的HTTPS抓包流程如下所示：

1. 手机设置代理指向电脑IP:端口
2. 电脑启动代理工具（如Charles）
3. 手机浏览器访问代理提供的下载地址，安装CA证书
4. 在系统设置中将该证书标记为“受信”
5. App发起HTTPS请求
6. 请求被代理拦截 → 代理生成伪造证书（由本地CA签发）
7. 客户端验证证书链有效性
8. 若证书不可信或发生Pin校验 → 连接终止
    

4. 绕过系统证书限制的技术路径

1. Android平台：对于非Root设备，可通过创建自定义network-security-config.xml并重打包APK，强制App信任用户CA；
2. 使用apktool反编译目标APK，添加以下配置：

<network-security-config>
    <domain-config>
        <domain includeSubdomains="true">example.com</domain>
        <trust-anchors>
            <certificates src="system" />
            <certificates src="user" />
        </trust-anchors>
    </domain-config>
</network-security-config>

然后重新签名并安装，即可让App接受用户证书。

5. 绕过证书绑定（Certificate Pinning）的高级方法

证书绑定通常通过以下方式实现：

• Hardcoded public key hashes (e.g., in OkHttp, Retrofit)
• 使用Conscrypt或TrustManager自定义校验逻辑
• iOS中通过NSURLSession或第三方库（如Alamofire）实现Pin校验

常用绕过手段包括：

技术手段	适用平台	工具支持	难度等级
Xposed框架 + JustTrustMe模块	Android (需Root)	支持多数SSL Pinning场景	中
Frida动态Hook SSL校验函数	Android/iOS	Frida-server + JS脚本	高
Objection集成自动化绕过	Android/iOS	基于Frida的CLI工具	中高
Magisk模块注入系统CA	Android Root	系统级持久化	高

6. 使用Frida绕过证书绑定的代码示例

以下是一个针对OkHttp的Frida脚本片段，用于Hook证书校验过程：

Java.perform(function () {
    var CertificatePinner = Java.use('okhttp3.CertificatePinner');
    CertificatePinner.check.overload(
        'java.lang.String',
        'java.util.List'
    ).implementation = function (hostname, chain) {
        console.log("[*] Bypassing CertificatePinner for " + hostname);
        return;
    };
});

运行此脚本前需确保Frida-server已在设备运行，并通过frida -U -n com.target.app -l pin_bypass.js加载。

7. iOS平台特殊处理流程

iOS由于沙盒机制严格，非越狱设备难以直接修改系统证书信任链。可行方案包括：

• 使用Cydia Substrate或libhooker进行运行时Hook（需越狱）；
• 利用Xcode调试注入动态库（适用于自建IPA）；
• 配合Proxyman等工具提升兼容性；
• 企业证书重签名后植入调试逻辑。

8. 可视化流程：HTTPS抓包与绕过Pin全流程图

graph TD
            A[手机设置HTTP代理] --> B{证书已安装且受信?}
            B -- 否 --> C[安装并信任CA证书]
            B -- 是 --> D{App是否启用Certificate Pinning?}
            D -- 否 --> E[正常抓包]
            D -- 是 --> F[使用Frida/Objection绕过Pin]
            F --> G[Hook TrustManager或NSURLSession]
            G --> H[成功建立MITM连接]
            H --> I[查看明文HTTPS流量]

9. 工具链推荐与最佳实践组合

根据设备状态选择合适工具组合：

• 非Root Android：Packet Capture（无需代理）或重打包+user CA信任；
• Root Android：Magisk + Move Certificates模块 + Frida；
• iOS 越狱：Cydia + SSLKillSwitch2 或 Objection；
• iOS 非越狱：AltStore + ReProvision重签名 + Proxyman配合；
• 通用方案：mitmproxy + Android模拟器（可控环境）。

10. 安全与合规性提醒

尽管技术上可实现全面抓包，但需注意：

• 未经授权对他人App进行抓包可能违反《网络安全法》或服务协议；
• 生产环境应禁用调试接口与证书绕过逻辑；
• 建议仅在测试环境、自有应用或获得授权的前提下操作；
• 避免泄露敏感信息或用于恶意目的。