Reqable抓包安卓App时CSDN登录接口无法捕获？

Question

Reqable抓包安卓App时CSDN登录接口无法捕获，常见原因是CSDN Android客户端启用了**证书固定（Certificate Pinning）**，导致HTTPS流量绕过系统代理，直接拒绝Reqable的中间人证书。即使已正确安装Reqable根证书、配置Wi-Fi代理并开启全局抓包，登录请求仍不显示在Reqable界面。此外，Android 7.0+默认不信任用户安装证书（除非应用显式配置`network_security_config`），而CSDN App未声明信任用户证书，进一步加剧拦截失败。部分新版还集成OkHttp内置Pin机制或使用Conscrypt等强化TLS校验。临时解决方案包括：启用Reqable的“Bypass Certificate Pinning”（需Root或配合Frida）、使用Magisk模块（如JustTrustMe）动态绕过，或改用支持自动脱壳+Hook的方案（如Objection）。根本解决需逆向分析其Pin逻辑并针对性Hook。

Answer 1

```html

一、现象层：抓包失败的直观表现与基础排查

在Reqable中配置Wi-Fi代理（192.168.x.x:8080）、安装并启用Reqable根证书、开启全局HTTPS抓包后，CSDN Android App（v7.5.0+）登录行为（如POST /api/v1/login）完全不触发任何HTTP/HTTPS请求记录；Logcat中可见javax.net.ssl.SSLPeerUnverifiedException: Certificate pinning failure异常。此非代理未生效，而是TLS握手阶段被主动终止。

二、系统层：Android 7.0+网络信任模型的硬性约束

• 自Android N（API 24）起，默认android:usesCleartextTraffic="false"且<application>不声明android:networkSecurityConfig时，系统强制忽略所有用户CA证书（含Reqable根证书）
• CSDN App的AndroidManifest.xml未引用自定义network_security_config.xml，导致其TrustedCertificateStore仅加载系统预置CA（AOSP内置+厂商白名单），Reqable证书被静默拒绝
• 该机制与代理无关——即使流量经Reqable转发，App在SSLSocketFactory初始化时已直接调用TrustManagerFactory.getInstance("X509")加载受限信任库

三、应用层：证书固定（Certificate Pinning）的多维实现

Pin类型	技术载体	检测时机	CSDN典型实现
静态Pin	APK assets/pins.json 或 res/raw/cert_pins	App启动时预加载SHA-256公钥哈希	存在res/raw/cert_pins（v7.3.2反编译确认）
OkHttp Pin	CertificatePinner实例绑定至OkHttpClient	每次connect()前校验Server Cert Chain	主网络模块使用OkHttp 4.12，CertificatePinner.get()返回非空实例
Conscrypt Pin	通过Conscrypt.newInstanceOf注入定制TrustManager	TLS handshake verifyCertificateChain阶段	v7.4.0+引入Conscrypt 2.5.2，绕过标准X509TrustManager链

四、工具链层：Reqable绕过能力的边界与依赖条件

Reqable v1.38.0+提供“Bypass Certificate Pinning”开关，但其实现依赖底层Hook引擎：

• 无Root设备：仅能注入WebView/Chrome Custom Tabs（对CSDN原生OkHttp无效）
• Root+Magisk：需启用Shamiko或Zygisk模式，加载Frida Server 16.3.5+，否则Java.performNow无法挂载到Zygote进程
• 关键Hook点示例：
  OkHttpClient$Builder.certificatePinner() → 返回CertificatePinner.DEFAULT
ConscryptEngineSocket.verifyCertificateChain() → 直接return

五、工程实践层：从临时绕过到深度逆向的演进路径

graph TD A[发现抓包空白] --> B{是否Root？} B -->|否| C[尝试Objection auto-pinning-bypass
（需脱壳+frida-gadget注入）] B -->|是| D[部署JustTrustMe Magisk模块
或Shamiko+Reqable Frida插件] C --> E[若失败→分析APK是否加壳] D --> F[若仍失败→检查是否启用Riru/Zygisk兼容模式] E --> G[使用JADX-GUI定位NetworkSecurityConfig类
及CertificatePinner初始化位置] F --> G G --> H[动态Hook：Frida脚本重写pinList
或替换X509TrustManager.checkServerTrusted]

六、根本解决层：面向CSDN Pin逻辑的精准Hook策略

逆向CSDN v7.5.0 APK发现其Pin校验封装于com.csdn.network.security.CertPinChecker类，核心逻辑为：

public static boolean verify(String hostname, List<X509Certificate> chain) {
    String pin = computeSha256(chain.get(0).getPublicKey()); // 非证书链全量Hash
    return ALLOWED_PINS.contains(pin) || 
           isDebugBuild() && BuildConfig.DEBUG; // 调试版后门
}

针对性Frida Hook方案：
① 替换CertPinChecker.verify返回true；
② 劫持computeSha256使其返回预设白名单值；
③ 检测isDebugBuild()并强制返回true（需修改BuildConfig.DEBUG内存值）。

```