如何绕过SSL证书验证实现HTTPS抓包？

Question

在进行HTTPS抓包时，为何需要绕过SSL证书验证？常见的做法是通过在客户端信任代理的CA证书来实现中间人解密，但在无法安装证书的场景（如某些企业应用或系统级限制App）中，直接绕过SSL验证成为必要手段。这通常涉及Hook SSL/TLS相关API（如OkHttp、SSLCertificateSocketFactory等），禁用证书校验逻辑。然而，此类操作可能触发应用的防篡改机制或安全检测（如证书锁定/SSL Pinning），导致崩溃或网络请求失败。如何在不引发异常的前提下安全绕过SSL验证，成为移动安全测试中的典型难题？

Answer 1

一、HTTPS抓包为何需要绕过SSL证书验证？

在移动应用安全测试与逆向分析中，HTTPS流量的可视化监控是关键环节。由于现代App普遍采用HTTPS加密通信，传统的抓包工具（如Wireshark、Fiddler）无法直接解密TLS/SSL层数据。

为了实现中间人攻击（MITM）式解密，常规做法是在客户端设备上安装抓包代理（如Charles、Burp Suite）的自定义CA证书，使系统信任该证书，从而允许代理动态生成目标域名的合法证书进行解密。

然而，在某些受限环境中：

• 企业级应用禁止用户安装未知CA证书
• iOS设备未越狱或未配置描述文件
• Android应用运行于Work Profile隔离环境
• 系统级App或预装固件限制证书管理权限

上述场景下无法完成CA证书的可信链注入，导致标准MITM方案失效。此时，必须通过代码层面“绕过”SSL证书验证逻辑，强制忽略证书校验过程。

二、常见绕过方式及其技术原理

绕过SSL验证的核心思想是Hook关键SSL/TLS API调用点，篡改其返回值或跳过校验流程。以下是主流实现路径：

技术栈	Hook目标类/方法	作用机制
Android (Java)	X509TrustManager.checkServerTrusted()	空实现该方法，不抛出异常
OkHttp	CertificatePinner	替换为宽松策略或禁用pinner
Android	SSLCertificateSocketFactory	重写socket创建逻辑
iOS (Swift/ObjC)	NSURLSessionDelegate	拦截didReceiveChallenge
通用	Native层OpenSSL/BoringSSL	使用Frida或Xposed hook底层函数

三、典型绕过代码示例（Android + OkHttp）

import javax.net.ssl.X509TrustManager;
import java.security.cert.X509Certificate;

public class TrustAllManager implements X509TrustManager {
    @Override
    public void checkClientTrusted(X509Certificate[] chain, String authType) { }

    @Override
    public void checkServerTrusted(X509Certificate[] chain, String authType) { }

    @Override
    public X509Certificate[] getAcceptedIssuers() {
        return new X509Certificate[0];
    }
}
    

结合Frida脚本动态替换原有TrustManager实例：

Java.perform(function () {
    var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager');
    var SSLContext = Java.use('javax.net.ssl.SSLContext');

    SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;', '[Ljavax.net.ssl.TrustManager;', 'java.security.SecureRandom').implementation = function (keyManager, trustManager, random) {
        return this.init(keyManager, [TrustAllManager.$new()], random);
    };
});
    

四、SSL Pinning检测与对抗策略

许多高安全性App集成了SSL Pinning机制，即将服务器公钥或证书哈希硬编码于APK/IPA中，运行时比对实际连接证书是否匹配。此类防护可有效阻止MITM攻击。

常见的Pinning检测点包括：

1. OkHttp的CertificatePinner
2. Android Network Security Config中的pin-set
3. iOS的SecTrustEvaluate调用
4. 自定义native层证书校验逻辑

对抗策略需分层实施：

• 静态修改：反编译APK后删除pinner配置或patch校验逻辑
• 动态Hook：使用Frida/Xposed拦截并返回true
• 内存补丁：定位校验函数地址并NOP关键跳转指令

五、高级规避技巧与防崩溃设计

直接全局禁用SSL验证可能触发应用完整性校验（如Root检测、调试器检测、签名校验），导致闪退或功能降级。因此需精细化控制Hook行为：

推荐采用条件式绕过策略：

// 仅对特定Host绕过证书校验
if (host.contains("api.example.com")) {
    // 执行信任所有证书逻辑
} else {
    // 调用原始校验流程
}
    

同时应模拟真实证书结构，避免完全空返回引发解析错误。可通过生成自签名伪证书并注入合法字段提升兼容性。

六、完整流程图：HTTPS绕过SSL验证的多层架构

graph TD
            A[启动App] --> B{是否存在CA证书?}
            B -- 是 --> C[正常MITM解密]
            B -- 否 --> D[检测SSL Pinning]
            D --> E{是否启用Pinning?}
            E -- 否 --> F[Hook TrustManager]
            E -- 是 --> G[定位Pinning校验点]
            G --> H[动态Hook或静态Patch]
            H --> I[替换为宽松策略]
            I --> J[恢复原始调用栈]
            J --> K[成功抓取HTTPS流量]