news 2026/7/5 21:02:44

Frida+frida-analykit+Wireshark：绕过SSL Pinning实现HTTPS流量明文捕获

作者头像

张小明

前端开发工程师

1.2k 24
文章封面图
Frida+frida-analykit+Wireshark：绕过SSL Pinning实现HTTPS流量明文捕获

1. 项目概述：为什么我们需要“看见”HTTPS流量？

在移动应用安全分析、逆向工程或者日常的客户端调试工作中，我们常常会遇到一个棘手的问题：应用的所有关键网络通信都走HTTPS。这本身是件好事，意味着数据传输是加密的、安全的。但对于我们这些需要分析应用行为、排查接口问题或者研究其通信协议的人来说，这就像隔着一堵单向玻璃墙——你能看到有数据在流动，却完全不知道里面是什么内容。

更麻烦的是，很多应用为了进一步提升安全性，会采用SSL Pinning（证书绑定）技术。简单来说，就是应用在代码里“记住”了它只信任自己指定的那个服务器证书（或公钥）。当你试图在中间插入一个自己签发的证书（比如用Burp Suite或Charles做代理抓包）时，应用会直接拒绝连接，因为它发现证书对不上。这就好比你家门锁不仅需要钥匙，还内置了指纹识别，只有特定房东的指纹才能开，你配的钥匙再好用也没戏。

那么，有没有一种方法，既能绕过这层坚固的“指纹锁”（SSL Pinning），又能实时、清晰地看到HTTPS流量里的明文数据呢？这就是我们今天要深入探讨的“黄金组合”：Frida + frida-analykit + Wireshark。这个方案的核心思路非常巧妙：我们不从网络链路上硬碰硬地破解证书，而是直接“潜入”到应用进程的内存里，在数据被加密发送之前，或者刚被解密接收之后，把它“拷贝”一份出来。frida-analykit就是这个“拷贝机”，而Wireshark则是我们最熟悉的“展示台”。我花了相当长时间折腾各种抓包方案，实测下来，这套组合在对付那些加固严密、证书绑定复杂的App时，成功率最高，对应用本身的影响也最小。

2. 核心工具链解析与选型逻辑

在动手之前，我们得先搞清楚手里这几件“兵器”各自是干什么的，以及为什么是它们组合在一起能产生奇效。盲目上手只会让你在环境配置和错误排查中浪费大量时间。

2.1 Frida：动态插桩的瑞士军刀

Frida是整个方案的基石。它是一个动态代码插桩工具包，允许你将JavaScript（或Python）脚本注入到目标进程（无论是桌面程序还是移动App）中。注入后，你的脚本可以访问该进程的内存，挂钩（Hook）函数调用，甚至修改函数的参数和返回值。你可以把它想象成一个超级精细的“手术机器人”，能进入正在运行的程序内部进行实时观察和微调。

在移动安全领域，Frida几乎是标配。它不需要目标应用的源代码，可以在应用运行时动态介入，这比静态反编译分析要灵活和强大得多。我们后续的脚本，正是通过Frida注入到目标App进程中，去挂钩那些负责加密和解密的函数。

注意：Frida分为服务端（frida-server）和客户端（frida-tools）。服务端需要运行在目标设备上（比如已Root的Android手机或越狱的iOS设备），客户端则运行在你的分析电脑上。这是整个流程能跑通的前提。

2.2 frida-analykit：专为流量捕获而生的桥梁

frida-analykit是一个基于Frida的脚本集合（通常是一个.js文件）。它的设计目标非常明确：挂钩移动操作系统（主要是iOS和Android）中底层的网络库函数，如libssl.so或Security.framework中的SSL读写函数。

它的工作原理可以概括为：

  1. 定位关键函数：脚本会寻找像SSL_read和SSL_write这样的函数。SSL_write负责在数据发送前进行加密，SSL_read负责在数据接收后进行解密。
  2. 挂钩并复制数据：当这些函数被调用时，frida-analykit的钩子会触发。它可以在SSL_write执行前，获取到即将被加密的明文数据；在SSL_read执行后，获取到刚刚被解密的明文数据。
  3. 格式化并输出：它将获取到的明文数据，按照标准的PCAPNG格式进行封装，并输出到一个文件中，或者通过TCP/UDP Socket发送出去。

为什么是PCAPNG格式？因为这是Wireshark和tcpdump等主流网络分析工具的原生格式。这意味着frida-analykit产出的数据，可以直接被Wireshark打开和分析，无需任何转换。它相当于在应用内部安装了一个“探针”，直接把内存里的明文流量“镜像”了出来。

2.3 Wireshark：老牌而强大的流量分析终端

Wireshark无需多言，它是网络协议分析领域的“事实标准”。我们选择它，不仅仅是因为它强大，更是因为frida-analykit的输出与它完美兼容。

当frida-analykit将捕获的流量保存为.pcapng文件后，你可以直接用Wireshark打开它。你会看到完整的网络会话，包括TCP流、TLS握手（虽然握手过程可能被简化显示），以及最关键的——被解密后的HTTP/HTTPS应用层数据。你可以像分析普通HTTP流量一样，使用Wireshark的过滤、追踪流、导出对象等所有高级功能。

这套组合的优势总结：

  • 无视SSL Pinning：因为钩子打在SSL加密/解密的那一刻，发生在证书验证之后，所以证书绑定的检查早已完成，无法阻止我们获取明文。
  • 实时性：可以边操作App边在Wireshark中看到流量，便于交互式调试。
  • 高兼容性：只要Frida能注入，并且能找到关键的SSL函数，理论上就能工作。对抗常见的加固手段有一定能力。
  • 数据完整：获取的是完整的应用层协议数据（如HTTP/1.1, HTTP/2, gRPC等），对于协议逆向非常友好。

3. 环境搭建与核心配置详解

理论讲完，我们进入实战环节。一套稳定可用的环境是成功的一半。这里我以Android平台为例进行说明，iOS的思路类似，但具体工具和步骤有所不同。

3.1 基础环境准备

  1. 目标设备：一台已经获得Root权限的Android手机或模拟器（推荐使用真机，模拟器可能遇到网络桥接问题）。我常用的是Pixel系列手机刷入Magisk的方案。
  2. 分析电脑：一台运行macOS、Linux或Windows的电脑，作为Frida客户端和Wireshark的运行环境。
  3. 网络连接：确保手机和电脑在同一个局域网内，或者通过USB连接并配置好adb转发。

3.2 工具安装与部署

在分析电脑上：

  1. 安装Python及pip：确保已安装Python 3.7+。
  2. 安装Frida客户端工具：
    pip install frida-tools
    安装完成后，命令行输入frida --version应能显示版本号。
  3. 安装Wireshark：从Wireshark官网下载并安装对应你操作系统的版本。
  4. 获取frida-analykit脚本：从GitHub等开源仓库下载最新的frida-analykit.js文件。建议找一个维护活跃的版本。

在目标Android设备上：

  1. 推送并运行frida-server：
    • 从Frida官方GitHub的Release页面，下载与你的电脑端frida-tools版本匹配的、对应你手机CPU架构（通常是arm64）的frida-server文件，例如frida-server-16.1.4-android-arm64.xz。
    • 解压后得到二进制文件frida-server。
    • 通过adb将文件推送到设备，并赋予执行权限：
    adb push frida-server /data/local/tmp/ adb shell su cd /data/local/tmp chmod 755 frida-server
  2. 启动frida-server：在设备的shell中，以后台方式运行它。
    ./frida-server &
    保持这个shell窗口不要关闭，或者使用nohup等方式让其持续运行。
  3. 验证连接：回到电脑的终端，运行：
    frida-ps -U
    如果能看到设备上运行的进程列表，恭喜你，Frida环境已经打通。

3.3 frida-analykit的核心配置与启动

frida-analykit脚本通常提供了多种运行模式，我们需要根据场景选择。最常用的是“文件模式”和“Socket模式”。

  • 文件模式：脚本将捕获的流量直接写入设备存储的一个.pcapng文件中。事后通过adb pull拉取到电脑上用Wireshark分析。适合长时间、非交互式的抓包。

    frida -U -f com.target.app -l frida-analykit.js --runtime=v8 --no-pause -o /sdcard/capture.pcapng
    • -U: 连接USB设备。
    • -f com.target.app: 启动目标App（包名）。
    • -l frida-analykit.js: 加载我们的分析脚本。
    • --runtime=v8: 指定JavaScript引擎，v8性能更好。
    • --no-pause: 立即启动App，不等待。
    • -o /sdcard/capture.pcapng: 指定输出文件路径。

  • Socket模式（推荐用于实时分析）：脚本将捕获的流量通过TCP或UDP Socket发送到网络上的另一台主机（通常是你的分析电脑）。我们可以在电脑上用一个简单的工具接收并写入文件，然后让Wireshark实时读取这个文件。

    1. 在分析电脑上启动流量接收器。我们可以用netcat（nc）或写一个简单的Python脚本。这里用netcat举例，监听8888端口，并将数据写入文件：
      nc -l -p 8888 > live_capture.pcapng
    2. 以Socket模式启动frida-analykit。你需要修改脚本调用参数或直接修改js脚本中的配置，使其指向你电脑的IP和端口。通常需要在js脚本里找到类似host和port的变量进行设置，然后运行：
      frida -U -f com.target.app -l frida-analykit.js --runtime=v8 --no-pause

实操心得：Socket模式配置要点

  1. 防火墙：确保你电脑的防火墙允许入站连接在指定端口（如8888）。
  2. IP地址：使用电脑在局域网内的真实IP，而不是127.0.0.1或localhost。
  3. 脚本修改：仔细阅读你下载的frida-analykit.js文件的开头部分，通常会有配置段。你需要将EXPORT_TO_SOCKET设为true，并正确设置SOCKET_HOST和SOCKET_PORT。
  4. 接收端处理：netcat接收的数据是原始的PCAPNG流，直接写入文件即可。Wireshark支持打开“正在写入”的文件（使用快捷键Ctrl+Shift+R重新载包），从而实现真正的实时流量展示。这是我个人最推荐的工作流，效率最高。

4. 实战流程：从注入到解密分析

假设我们已经配置好Socket模式，并且目标App是com.example.secureapp。下面是一套完整的操作流程。

4.1 启动实时捕获管道

  1. 在电脑终端1，启动网络接收器：

    nc -l -p 8888 > /tmp/android_traffic.pcapng

    这个命令会阻塞，等待连接。

  2. 在电脑终端2，注入并启动App：

    frida -U -f com.example.secureapp -l ./frida-analykit.js --runtime=v8 --no-pause

    如果脚本配置正确，你会看到Frida的输出，显示脚本已附加，并且可能有一些Hook成功的日志。同时，终端1的nc命令应该会开始接收数据（文件大小开始增长）。

  3. 在Wireshark中打开实时文件：

    • 打开Wireshark。
    • 点击菜单文件->打开。
    • 找到并选择/tmp/android_traffic.pcapng文件。
    • 关键步骤：由于文件正在被写入，Wireshark默认只会读取一次。为了实时更新，你需要开启自动滚屏和定期重新载包。
      • 在Wireshark底部状态栏，勾选实时捕获类似的选项（不同版本位置可能不同）。
      • 或者，更可靠的方法是使用快捷键Ctrl+Shift+R，会弹出重新载包的对话框，你可以设置一个较短的自动重新载包间隔（如2秒）。

4.2 操作App并观察流量

现在，你可以在手机上正常使用com.example.secureapp了。进行登录、刷新列表、点击按钮等任何会产生网络请求的操作。

回到Wireshark窗口，你应该能看到数据包在不断刷新。这些数据包看起来和普通抓包有所不同：

  • 协议显示：你可能看到协议是“HTTP”，或者“TLS”但后面跟着应用层协议。这是因为frida-analykit在输出时，已经将解密后的数据封装成了类似HTTP over TCP的格式。
  • 查看明文：直接找到任何一个HTTP请求包，展开协议详情，你应该能清晰地看到：
    • HTTP层：包含完整的请求方法、URL、Headers。
    • Line-based text data或JavaScript Object Notation：这里就是请求体或响应体，如果是JSON或XML，内容一目了然；如果是加密的二进制数据，这里显示为乱码，但至少你知道它被加密了，而这在普通HTTPS抓包中是完全看不到的。

4.3 使用Wireshark高级功能进行分析

捕获到流量只是第一步，Wireshark的强大在于分析。

  1. 过滤特定会话：在过滤栏输入ip.addr == 服务器IP或http contains “keyword”来聚焦你关心的流量。
  2. 追踪TCP流：右键某个数据包 ->追踪流->TCP流。这会将一次完整的请求-响应对话以明文形式展示在一个窗口里，对于分析API交互格式极其方便。你甚至可以直接将整个对话内容复制出来。
  3. 导出对象：如果流量中有图片、文件下载，可以使用文件->导出对象->HTTP来批量导出这些资源。
  4. 统计信息：使用统计菜单下的各种功能，如“会话”、“HTTP请求统计”等，可以宏观了解App的网络行为模式。

5. 疑难杂症与深度优化指南

在实际操作中，你几乎一定会遇到问题。下面是我踩过无数坑后总结的常见问题及解决方案。

5.1 常见问题排查表

问题现象可能原因排查步骤与解决方案
frida-ps -U无输出或报错1. frida-server未运行或崩溃。
2. 设备未Root或adb未获得root权限。
3. 电脑与设备连接不稳定。		1. 检查设备shell，用ps | grep frida确认进程存在，重启frida-server。
2. 在adb shell中执行su，确认能切换到root。
3. 尝试adb kill-server && adb start-server，重新连接。
Frida注入失败，提示Failed to spawn1. 应用包名错误。
2. 应用有反调试或反Frida机制。		1. 用frida-ps -U确认准确的包名。
2. 尝试附着到已运行的进程：frida -U -n “App Name” -l script.js。
3. 考虑使用Frida对抗脚本，或更换Frida版本（有时新版会被检测）。
注入成功但抓不到包1. frida-analykit脚本未找到或未成功Hook关键函数。
2. 应用使用了自定义的SSL实现（如BoringSSL）或更高层的网络框架（如Cronet, OkHttp）。
3. 脚本输出模式配置错误。		1. 查看Frida输出的日志，确认是否有SSL_read/SSL_writeHook成功的提示。
2. 需要调整frida-analykit脚本，搜索并Hook其他可能的函数名（如SSL_write_ex）。对于OkHttp，可以尝试Hook Java层的OkHttpClient或拦截器。
3. 检查Socket模式的IP和端口是否正确，接收端nc是否在运行。
Wireshark打开文件无内容或格式错误1. 捕获文件为空（没抓到数据）。
2. PCAPNG流写入不完整或被损坏。		1. 回到上一步，确认抓包是否真的成功。
2. 尝试使用文件模式，抓一小段包后拉取到电脑上打开，排除Socket传输问题。
3. 确保Wireshark版本较新，以支持完整的PCAPNG格式。
流量中有TLS握手但无HTTP明文frida-analykit Hook的时机不对，可能是在SSL初始化阶段，而不是读写阶段。这是最复杂的情况。需要深入研究目标App使用的网络库。可以尝试frida-analykit的其他Hook策略，或者手动编写Frida脚本去Hook你认为可能负责数据收发的Java/ObjC函数。
应用闪退或网络异常Frida脚本或Hook操作干扰了应用的正常执行流程。1. 尝试调整脚本的Hook粒度，避免Hook过于频繁的函数。
2. 检查脚本是否有内存操作错误。
3. 考虑是否需要在非主线程执行Hook操作。

5.2 针对复杂场景的深度优化技巧

  1. 应对加固与混淆：如果App被加固，核心的libssl.so可能被隐藏或函数名被混淆。此时，单纯的函数名Hook会失败。

    • 思路一：模式匹配Hook。frida-analykit的高级用法支持通过函数签名的字节模式来定位函数，而不是函数名。你需要分析未加固版本的so文件，找到目标函数的特征字节码，然后在脚本中配置模式。
    • 思路二：Hook Java/Kotlin层。很多Android App即使native层加固，其Java网络框架（如OkHttp的Call执行、Interceptor链）依然是清晰的。编写Frida脚本Hook这些Java类，同样可以截获请求和响应体。虽然不如native层通用，但针对特定App往往更稳定。

  2. 提升性能与稳定性：在高流量场景下，Frida脚本可能会成为性能瓶颈，导致App卡顿或丢包。

    • 减少日志输出：将脚本中的console.log等调试输出注释掉，IO操作非常耗时。
    • 使用CModule：对于极其高频的函数Hook，可以考虑使用Frida的CModule功能，用C语言编写Hook逻辑，性能远超JavaScript。
    • 选择性Hook：不要无差别Hook所有SSL连接。可以先枚举进程内的模块和函数，找到目标App独有的或特定的网络库模块再进行Hook，减少系统流量干扰。

  3. 流量过滤与归类：抓到的包可能包含系统和其他App的流量，混杂不堪。

    • 在脚本中过滤：修改frida-analykit脚本，在复制数据前判断当前进程名或模块路径，只输出目标App的流量。
    • 在Wireshark中过滤：这是最常用的方式。根据目标服务器的IP或域名、或者App特有的User-Agent头进行过滤。

  4. 解密非HTTP(S)协议：这套方案的核心是获取SSL解密后的明文。因此，只要是基于SSL/TLS封装的协议，理论上都能看到。对于WebSocket (WSS)、gRPC等协议，你在Wireshark中看到的就是解密后的原始帧，需要你进一步了解这些协议的格式进行解析。Wireshark对常见协议有很好的支持，可以尝试在分析->启用的协议中确保相关协议已启用。

6. 扩展应用与伦理边界

掌握了这套技术，你能做的事情远不止于“抓包”。

  • 自动化测试与监控：将Frida脚本与自动化测试框架（如Appium）结合，可以自动执行用例并捕获网络请求，用于断言接口返回是否正确、性能是否达标。
  • 协议逆向与重放：通过分析明文请求/响应，你可以完全理解私有API的调用方式、参数格式和加密逻辑（如果有自定义加密，会在SSL解密之后）。这可以用于编写合法的第三方客户端，或者进行安全审计。
  • 漏洞挖掘：在明文流量中，你可以更容易地发现敏感信息泄露（如Token明文传输）、业务逻辑漏洞（如参数可篡改）的线索。

最后，也是最重要的，关于伦理和法律边界：你所探索的这项技术能力非常强大。务必牢记：

  • 仅用于合法授权范围：只对你拥有所有权或已获得明确书面授权的应用和设备进行分析。未经授权对他人的应用或系统进行此类操作，可能违反《计算机信息系统安全保护条例》等相关法律法规，构成侵权行为甚至计算机犯罪。
  • 尊重用户隐私：在分析过程中，可能会接触到用户数据。即使是在测试环境，也应像处理生产数据一样谨慎，避免泄露任何个人敏感信息。
  • 用于建设性目的：将技术用于安全研究、性能优化、故障排查和自身产品的学习改进。技术的价值在于创造和守护，而非破坏。

这套Frida + frida-analykit + Wireshark的组合拳，是我在移动端深度网络分析中最为信赖的工具链。它绕过表象的加密，直击通信的本质。虽然配置过程略显繁琐，遇到顽固应用时也需要更多的耐心和技巧去调整Hook点，但一旦跑通，那种所有加密流量尽在掌握的感觉，无疑会极大地提升你的分析和调试效率。希望这篇详尽的指南，能帮你少走弯路，顺利打开HTTPS流量分析的新世界大门。如果在实践中遇到新的问题，不妨从“进程是否注入成功”、“关键函数是否Hook到”、“数据流是否顺利输出”这三个核心环节入手，逐层排查，问题总能解决。

版权声明: 本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若内容造成侵权/违法违规/事实不符，请联系邮箱：809451989@qq.com进行投诉反馈，一经查实，立即删除！
网站建设 2026/7/5 20:59:07

从《编程之道Tao of Programming》看软件开发的本质：代码之外的道

从《编程之道Tao of Programming》看软件开发的本质：代码之外的道 【免费下载链接】tao-of-programming 《编程之道》 (Tao of Programming, 1987) 最新中英双语版 项目地址: https://gitcode.com/gh_mirrors/ta/tao-of-programming 《编程之道》&#xff08…

作者头像 李华
网站建设 2026/7/5 20:58:15

3步优化SmartDNS多IP返回策略：从卡顿到极速的实战指南

3步优化SmartDNS多IP返回策略：从卡顿到极速的实战指南 【免费下载链接】smartdns A local DNS server to obtain the fastest website IP for the best Internet experience, support DoT, DoH, DoQ. 一个本地DNS服务器，获取最快的网站IP，获得…

作者头像 李华
网站建设 2026/7/5 20:57:45

caxlsx_rails核心功能解析：从模板渲染到邮件附件的完整攻略

caxlsx_rails核心功能解析：从模板渲染到邮件附件的完整攻略 【免费下载链接】caxlsx_rails A Rails plugin to provide templates for the axlsx gem 项目地址: https://gitcode.com/gh_mirrors/ca/caxlsx_rails 🚀 作为Rails开发者的终极Excel生…

作者头像 李华
网站建设 2026/7/5 20:53:33

Meshroom三维重建：免费开源工具，用照片轻松创建专业3D模型

Meshroom三维重建：免费开源工具，用照片轻松创建专业3D模型 【免费下载链接】Meshroom Node-based Visual Programming Toolbox 项目地址: https://gitcode.com/gh_mirrors/me/Meshroom 想象一下，你刚完成一次精彩的旅行，拍…

作者头像 李华
网站建设 2026/7/5 20:40:39

终极指南：如何用OpenDelta实现参数高效调优的完整方案

终极指南：如何用OpenDelta实现参数高效调优的完整方案 【免费下载链接】OpenDelta A plug-and-play library for parameter-efficient-tuning (Delta Tuning) 项目地址: https://gitcode.com/gh_mirrors/op/OpenDelta 在当今AI领域，预训练模型已成…

作者头像 李华