在 Linux 下使用 mitmproxy 抓取安卓手机上的 HTTPS 流量

竹林里有冰的博客

纵使安卓下有小黄鸟 HttpCanary 这种抓包神器，但手机一块 6 英寸的小屏实在是不方便分析流量情况，还得是 PC 的屏幕更大一些，处理起流量信息来更得心应手一些。

把话说在前面，目前的安卓抓包有不小的限制

Android 7 以下的版本: 直接以普通用户的权限安装 ssl 证书即可被信任
Android 7 以上的版本:
- 安全性较低的应用: 需要使用 root 权限将证书移动至 /system/etc/security/cacerts使证书被系统信任
- 安全性较高的应用（比如微信 7.0 以上的版本）: 在满足上一条条件的情况下，需要阻止第三方应用使用自带的 ssl 证书信任范围（绕过 SSL Pinning）。通常情况下需要额外的手段对目标应用进行篡改，比如使用 justTrustMe 这个 xposed 模块，或者 frida。

除此之外，Linux 版本 >= 5.5 的安卓设备也可以使用 eCapture 这款基于 eBPF Linux 内核模块实现的抓包软件，算是种奇技淫巧。

本文只讨论 Android 7 以上版本中安全性较低的应用，因为我当前的抓包目标局限于一款安全性不高的外包软件。

基本操作

见「在 Linux 下使用 mitmproxy 抓取 HTTPS 流量」

安装 ssl 证书

此时我们就可以在家目录下找到一个以 .0 结尾的证书文件，我们的目标是将其放到手机的 /system/etc/security/cacerts 路径下。

对于一些出厂安卓版本较低、system 分区采用可变文件系统的手机，我们可以很轻松的使用带有 root 权限的文件管理器将证书文件移动到对应的目录（我这里就是）；而对于出厂版本较高的手机，system 分区可能是不可写的，需要采用额外的奇技淫巧。

1、通过 ADB 将 HTTP Toolkit CA 证书推送到设备上。
2、从 /system/etc/security/cacerts/ 中复制所有系统证书到临时目录。
3、在 /system/etc/security/cacerts/ 上面挂载一个 tmpfs 内存文件系统。这实际上将一个可写的全新空文件系统放在了 /system 的一小部分上面。将复制的系统证书移回到该挂载点。
4、将 HTTP Toolkit CA 证书也移动到该挂载点。
5、更新临时挂载点中所有文件的权限为 644，并将系统文件的 SELinux 标签设置为 system_file，以使其看起来像是合法的 Android 系统文件。
——《安卓高版本安装系统证书 HTTPS 抓包 - 终极解决方案》「archived here」