本文目录导读：
针对APP抓包被拦截的问题,通常是由于APP实施了SSL/TLS证书校验（Certificate Pinning）或双向认证（Mutual TLS）等安全机制，为了防范这些拦截措施，以便进行合法的渗透测试或安全研究，以下是一些常用且有效的方法。
⚠️ 重要法律与道德声明： 以下方法仅限用于对自己拥有合法管理权限的APP（如自己开发的APP）或已获得明确书面授权的渗透测试中，未经授权抓取、篡改他人APP数据属于违法行为（如侵犯公民个人信息罪、非法获取计算机信息系统数据罪）。
本质原因：为什么抓包会被拦截？
- 证书绑定： APP内置了服务器证书的公钥或证书指纹，当代理工具（如Burp Suite、Charles）用自己的CA证书替换服务器证书时，校验会失败。
- 单向/双向SSL： 双向认证要求客户端也提供证书，代理工具默认无法提供正确的客户端证书。
- 非标准SSL库： APP使用自研或第三方安全库（如OpenSSL、NSS），关闭了系统默认的证书信任链。
防范拦截的核心思路
核心目标是：让APP信任由抓包工具生成的中间人CA证书，或者绕过APP的证书校验逻辑。
全局代理 & 安装系统级CA证书（最简单，但部分APP失效）
这是最基础的抓包设置,适用于未启用证书绑定的APP。
- 设置代理： 在手机WIFI设置中手动设置代理指向抓包工具IP和端口。
- 安装代理证书：
- Android 7.0+ 限制： 系统默认只信任系统级CA证书（
/system/etc/security/cacerts/），不信任用户安装的证书。 - 解决方案：
- Root手机： 使用Magisk模块（如
MoveCertificates）将代理证书移动到系统证书目录。 - 非Root手机（仅限Android 7.0以下）： 用户安装的证书可直接被APP信任。
- Root手机： 使用Magisk模块（如
- iOS： 在“设置-通用-关于本机-证书信任设置”中开启对代理证书的完全信任（iOS 10.3+）。
- Android 7.0+ 限制： 系统默认只信任系统级CA证书（
Hook框架绕过证书校验（最常用，针对证书绑定）
这是对抗证书绑定最主流的方法,原理是运行时修改APP的函数行为。
-
Android平台：
- Xposed / LSPosed + JustTrustMe / SSLUnpin：
JustTrustMe：一键绕过所有基于常见第三方库的证书绑定。SSLUnpin：更精细的控制，针对特定APP。
- Frida（跨平台）：
- 编写JavaScript脚本动态Hook
ssl_ctx_set_verify、java.security.cert.CertificateValidator等函数，使其返回True。 - 示例脚本：
frida -U -l ssl_bypass.js -f com.example.app
- 编写JavaScript脚本动态Hook
- Magisk + Riru / Zygisk + TrustMeAlready：
系统级绕过,不依赖APP进程。
- Xposed / LSPosed + JustTrustMe / SSLUnpin：
-
iOS平台：
- Cydia Substrate / Substitute + SSL Kill Switch 2：
经典越狱工具,钩住底层SSL/Socket函数。
- Frida for iOS：
类似Android,使用Frida脚本绕过。
- Cydia Substrate / Substitute + SSL Kill Switch 2：
使用VPN抓包方案（绕过WIFI代理限制）
部分APP会检测系统代理设置（Proxy Detection），发现设置了代理就拒绝连接，此时可用VPN抓包。
- 工具：
- PC端：
mitmproxy（在PC上运行，或使用mitmproxy的内置VPN模式）。 - 移动端：
HTTP Toolkit（Android）、Packet Capture（独立VPN，无需Root，但需支持SSL）。 - 工作原理： 在手机上创建一个本地VPN，将所有流量重定向到本地抓包服务，绕过系统代理设置。
- 优势： 无需配置WIFI代理，APP较难检测。
- PC端：
模拟器抓包（完全控制底层）
使用Android模拟器（如Android Studio自带模拟器、Genymotion）进行抓包，可以更方便地获得Root权限或修改系统文件。
- 开启Root： 模拟器自带Root（如Genymotion），或安装Magisk。
- 直接修改系统证书： 将代理证书用
adb push到/system/etc/security/cacerts/目录。 - 使用Xposed等框架： 直接在模拟器内安装框架，一劳永逸。
动态分析与反混淆（高级防御）
如果APP使用了自研SSL库、Native层校验或代码混淆，以上通用Hook可能失效。
- 反编译/脱壳：
- 使用
JADX、GDA等工具反编译APK，寻找自定义的证书校验逻辑（如TrustManager、SSLSocketFactory）。 - 使用
FART、BlackDex等脱壳工具，获取真正的DEX代码。
- 使用
- 动态调试与Patch：
- 使用IDA Pro或GDB动态调试APP Native层，找到校验函数并修改其返回值。
- 直接修改Smali代码（或编译后的二进制），去掉
checkClientTrusted或checkServerTrusted等异常抛出语句，重新打包签名。
常见问题与排错
- 抓包工具显示“Connection Refused”或“SSL Handshake Failed”：
- 原因1： 证书未正确安装或不被信任，检查证书是否已转为系统证书。
- 原因2： APP使用了客户端证书认证，需要从APP反编译中提取客户端证书（.p12），并在Burp/Charles中配置（Proxy -> SSL Pass Through / Client Certificate）。
- 部分流量可抓，部分不行：
可能APP对核心API使用了独立的证书绑定,对其他静态资源（如图片、CDN）没有绑定，需要针对特定域名进行Hook。
- Hook后闪退：
- Frida脚本兼容性问题,或APP有反Hook检测（如检测/proc/self/maps中是否有frida-server），需使用
--no-pause或Objection的-g参数绕过。
- Frida脚本兼容性问题,或APP有反Hook检测（如检测/proc/self/maps中是否有frida-server），需使用
- iOS越狱检测：
- 使用
Shadow、Liberty Lite等越狱隐藏插件，或使用未越狱的iOS设备配合Frida（需开发者证书签名）。
- 使用
总结与建议
| 场景 | 推荐方案 | 难度 | 适用性 |
|---|---|---|---|
| 非Root/越狱手机，简单APP | 全局代理 + 用户证书（Android 7.0-） | 低 | 仅限早期APP |
| Root/越狱手机，中等APP | Frida + ssl_bypass.js 或 Xposed + JustTrustMe |
中 | 大多数APP |
| 检测代理设置的APP | VPN抓包（HTTP Toolkit / Packet Capture） | 中 | 通用 |
| 高度定制/自研库的APP | 反编译 + 动态Patch + IDA调试 | 高 | 专业安全测试 |
| iOS越狱设备 | SSL Kill Switch 2 + Frida | 中 | 强 |
| Windows/Mac桌面APP | Proxifier + mitmproxy（全局代理）或 系统级证书 | 低 | 通用 |
最后提醒： 防范抓包拦截的最终手段是源代码级别的审计与修改，在实际工作中，如果遇到难以绕过的保护（如私有协议头、时间戳校验、人机验证），通常需要逆向工程分析找出其关键校验点进行针对性破解，请务必在合法授权范围内操作。
