双向认证处理流程
- 概述
- 获取证书
- 逆向app 获取证书的KeyStore的 key
- 通过jadx 反编译 app 获取证书:
- frida hook
- 证书转换
- 命令行转换
- portecle 工具使用
- charles 配置 p12 格式证书
概述
本篇只介绍怎么解决ssl pinning, 不讲ssl/tls 原理。
为了解决ssl pinning 服务端验证(又称 双向认证), 解决步骤如下:
获取证书
我们知道服务端证书绑定在客户端中, 那么直接解压apk就可以获取了
常见 akp 的证书一般放在assets
目录下面, 常见的证书格式: cer、pem、p12、pfx、bks
等
示例:
逆向app 获取证书的KeyStore的 key
通过ssl pinning 原理我们知道服务端证书被绑定在客户端中(apk里)
这里分为两步:第一步获取 证书passwrd代码位置; 第二步通过frida hook获取password
常见java代码模拟双向认证的请求的过程:
// 双向认证证书
KeyStore keyStore = KeyStore.getInstance("PKCS12");
KeyStore trustStore = KeyStore.getInstance("jks");
// keyStore是服务端验证客户端的证书,trustStore是客户端的信任证书
InputStream ksIn = new FileInputStream("E:/Java/jre8/lib/security/re/1.pfx");
InputStream tsIn = new FileInputStream(new File("E:/Java/jre8/lib/security/re/1"));// 这里是客户端证书加载, 123456为keyStore的password
keyStore.load(ksIn, "123456".toCharArray());SSLContext sslContext = SSLContexts.custom().loadTrustMaterial(trustStore, new TrustSelfSignedStrategy()).loadKeyMaterial(keyStore, "123456".toCharArray()).setSecureRandom(new SecureRandom()).useSSL().build();ConnectionSocketFactory pSocketFactory = new PlainConnectionSocketFactory();
SSLConnectionSocketFactory sslConnectionSocketFactory = new SSLConnectionSocketFactory(sslContext);Registry<ConnectionSocketFactory> r = RegistryBuilder.<ConnectionSocketFactory> create().register("http", pSocketFactory).register("https", sslConnectionSocketFactory).build();
PoolingHttpClientConnectionManager secureConnectionManager = new PoolingHttpClientConnectionManager(r);HttpClientBuilder secureHttpBulder = HttpClients.custom().setConnectionManager(secureConnectionManager);
HttpClient client = secureHttpBulder.build();HttpGet httpGet = new HttpGet("https://xxx.com");
HttpResponse httpResponse1 = client.execute(httpGet);
通过jadx 反编译 app 获取证书:
- 查找特征:
- keyStore.load
示例: ( 图二 )
frida hook
由于不同apk hook代码不同, 这里介绍两个hook点, 不提供hook 代码
- hook 密码解密函数
- hook keyStore 的load 函数
示例:(以图二为例)
// 这里使用hook 点一
function main(){Java.perform(function(){Java.enumerateClassLoaders({onMatch : function(loader){try {// loadClass or findClassif (loader.loadClass("o0O0000o.OooO0OO")){Java.classFactory.loader = loader;// something to do;var OooO0OO = Java.use("o0O0000o.OooO0OO");console.log("success hook it :", OooO0OO);OooO0OO["OooO00o"].implementation = function (j) {console.log(`OooO0OO.OooO00o is called: j=${j}`);let result = this["OooO00o"](j);console.log(`OooO0OO.OooO00o result= ${result}`);return result;};}} catch (error) {// pass}},onComplete: function () {console.log("complete !!! ")}})})
}setImmediate(main);
结果:
OooO0OO.OooO00o is called: j=-1973552697099
OooO0OO.OooO00o result= MZ4cozY8Qu32UzGe
OooO0OO.OooO00o is called: j=-2046567141131
OooO0OO.OooO00o result= MZ4cozY8Qu32UzGe
证书转换
如果如果证书是bks 的, 还需转换成p12(PKCS12) 或 pem(因为charles 只支持p12 和pem)
转换方式这里介绍两种: 第一种命令行; 第二种使用portecle工具
命令行转换
keytool -importkeystore -srckeystore your_bks_cert.bks -srcstoretype BKS -destkeystore bks.p12 -deststoretype PKCS12
其中,your_bks_cert.bks 是你的 bks格式证书文件,bks.p12 是输出的p12格式证书文件名;之后,按照提示输入bks证书的密码(MZ4cozY8Qu32UzGe)和p12证书的密码(同bks证书)。
portecle 工具使用
网上有很多, 这里提供一个不错的blog 点击前往
charles 配置 p12 格式证书
网上有很多, 这里提供一个不错的blog 点击前往
借鉴:
- 问题解决过程:https://zhuanlan.zhihu.com/p/60392573
- charles 配置证书: https://blog.yii2.cc/mutual-tls-authentication/
- apk 获取证书:https://www.secpulse.com/archives/54027.html
- java 现SSL双向认证:https://blog.csdn.net/HD243608836/article/details/109105469
- bks证书转p12: https://tool.yimenapp.com/info@-bks-zheng-shu-zhuai-p12-159502.html
- 证书password hook点定位:https://xz.aliyun.com/t/12993?time__1311=mqmhqIhiGK0KDsD7GG7DyWrbDteXupuGD&alichlgref=https%3A%2F%2Fwww.google.com%2F
- Portecle工具 Portecle 使用:https://blog.csdn.net/jlcikai/article/details/124605175