Как перехватить ssl на Android?

Question

[Nubzilo]

Добрый день. Целый день мучаюсь над этим вопросом. Использую эмулятор, но вряд ли дело в этом. Пробовал уже и Charles и Fiddler. Ставил и сертификаты и Android-SSL-TrustKiller, ничего не помогает. Как перехватить трафик от Instagram приложения? При всем этом iOS SSL Kill Switch работает отлично, все ловит, все показывает. Андроид же - только браузер. Может кто сталкивался...
Upd. Попробовал Burp - тоже самое.

Answer 1

[z0rgoyok]

Инстаграм не ходит через системный прокси, скачайте программу, которая всю систему пустит через прокси.

Comments

[Nubzilo]

скачал - proxydroid. Правда не знаю, может из-за того, что эмуляторы, но никакого результата не было. Пробовал 4 разных эмулятора.

[Alex K.]

У меня всё интереснее. С помощью Transparent Proxy (требует root, прописывает прокси прям в iptables) трафик инстаграма пошел через мой Fiddler, НО! Ни Android SSL TrustKiller, ни Android SSLUnpinning не заставили инстаграм принять сертификат фиддлера, хотя он установлен в системе. И не только инстаграм с ним работать не хочет.

[Nubzilo]

Делал в эмуляторе или на девайсе?
В общем вопросов с андроидом дофига получается ) я чего то думал, что основной проблемой будет пустить трафик на фидлер, а оно вот как. Но поскольку есть люди у которых получилось перехватить - нужно пробывать.

[Alex K.]

Я на своём девайсе пробую

[z0rgoyok]

Nubzilo: есть шанс, что инстаграм внутри в коде проверяет валидность сертификата, можно отключить наверно.

[z0rgoyok]

Nubzilo: у charles есть свой сертификат, попробуйте его установить.

[Nubzilo]

Прочтите вопрос еще раз, пожалуйста. Пробовал уже и сертификаты, и пакеты, и гугл всю ночь - на данный момент все тщетно.
Если ответа нет - мне кажется, предположения лучше оставить при себе. На тостере обычно пишут после того, как сами информацию найти не смогли.

[z0rgoyok]

Nubzilo: понятно :) чем смог тем помог, в нашем проекте мы храним сертификат внутри приложения (в ресурсах) для проверки, посмотрите может и там он лежит где-то) bks

[Nubzilo]

Вот, спасибо, о таком я даже не думал почему то ) Правда, если он там и есть - вряд ли я его найду. С джавой не дружу, даже нормально декомпилировать не получилось. У меня большая часть классов - буквы алфавита.

[Alex K.]

Обфусцировано всё потому что.. Помнится декомпильнул старую версию инстаграма - пара пакетов всего обфусцировано и имеют имена типа a b c d e, остальное открыто, на днях декомпильнул новую версию - всего несколько малоинтересных классов читабельны, остальное всё обфусцировано.
Собственно смотрю сейчас в Burp Suite - вижу трафик от чего угодно: фейсбук, вк, твиттер, вайбер, ещё кое-чего, сбербанк даже.. но только не то, что хочу увидеть. Instagram и WhatsApp серьёзно заморочены - инстаграм упорно не хочет работать через мой прокси, а вотсап вроде как работает, но сниффер никакого трафика по его части не видит.. и х.. его знает, как он это делает))

[Alex K.]

Ответил ниже. Дело в том, что мало пустить всю систему через прокси. Instagram, как и WhatsApp, и еще некоторые приложения, содержит встроенную проверку сертификатов (Certificate Pinning) и с левым сертификатом (сертификатом сниффера) работать отказывается. Чтобы это обойти, нужно отключить (вырезать) проверку сертификатов.

Answer 2

[Alex K.]

В общем, я решил вопрос единственным возможным способом, а именно пересобрал клиент инстаграма, аккуратно вырезав проверку сертификатов - и вуаля:

P.S.: Не знаю, может я что-то проглядел, но с Fiddler'ом так и не заработало.

Comments

[Nubzilo]

Отписал в скайп.

[Nubzilo]

В общем достучаться в скайп так и не удалось. Вопрос остается открытым.