告别抓包失败：手把手教你用r0Capture脚本通杀iOS/Android的SSL Pinning
跨平台移动端抓包实战：r0Capture脚本破解SSL Pinning全解析
移动应用安全测试中，抓包分析是基础却关键的环节。但当开发者启用SSL Pinning（证书绑定）技术时，传统代理工具如Charles或Fiddler往往束手无策。本文将深入解析如何利用r0Capture脚本实现iOS/Android双平台SSL Pinning破解，构建一套开箱即用的抓包工作流。
1. SSL Pinning的攻防本质
SSL Pinning是开发者防止中间人攻击的常见手段，它将服务器证书或公钥硬编码到应用中，只有当证书匹配时才建立连接。这种机制有效提升了安全性，却给安全测试人员设置了障碍。
技术对抗的三个层级：
- 应用层绕过：修改客户端证书校验逻辑（常见于Android）
- 框架层拦截：Hook系统网络库的验证函数（如iOS的NSURLSession）
- 传输层解密：直接Hook底层SSL库的读写操作（通杀方案）
r0Capture的创新之处在于选择了最底层的传输层方案，通过HookSSL_read/SSL_write等核心函数，无论应用采用何种证书绑定策略，都能捕获明文数据。这种方案不依赖具体应用实现，具有真正的"通杀"特性。
2. 环境搭建与工具链配置
2.1 基础工具准备
- Frida框架：动态插桩的核心引擎
# 安装Python环境 pip install frida-tools # 下载对应版本的frida-server adb push frida-server /data/local/tmp/ adb shell "chmod 755 /data/local/tmp/frida-server" adb shell "/data/local/tmp/frida-server &" - 开发环境：
- iOS：需越狱设备或开发者证书签名
- Android：root设备或模拟器
2.2 r0Capture脚本部署
脚本通过智能识别平台自动适配：
// 平台检测逻辑 const isiOS = Process.platform === 'darwin'; const sslLib = isiOS ? 'libboringssl.dylib' : 'libssl.so'; const targetFunctions = ['SSL_read', 'SSL_write', 'SSL_get_fd'];关键配置参数：
| 参数名 | iOS示例值 | Android示例值 |
|---|---|---|
| SSL库路径 | /usr/lib/libboringssl | /system/lib/libssl |
| Hook点 | SSL_write | SSL_read |
| 数据输出格式 | Hexdump | Base64 |
3. 核心原理深度剖析
3.1 跨平台适配机制
r0Capture通过三目运算符实现智能平台检测：
const addresses = {}; resolver.enumerateMatchesSync(`exports:${sslLib}!${func}`).forEach(match => { addresses[func] = match.address; });双平台差异对比：
iOS：
- 使用
libboringssl.dylib库 - 需要处理ASLR（地址空间随机化）
- 典型调用栈：
CFNetwork → SecureTransport → boringssl
- 使用
Android：
- 使用
libssl.so标准库 - 需考虑不同ROM的库路径差异
- 典型调用栈：
OkHttp → Conscrypt → openssl
- 使用
3.2 数据捕获流水线
graph TD A[SSL_read/SSL_write调用] --> B[参数解析] B --> C[内存数据提取] C --> D[会话信息关联] D --> E[网络字节序转换] E --> F[数据包重组]关键Hook点参数解析：
SSL_write：int SSL_write(SSL *ssl, const void *buf, int num); // buf指向待发送数据，num为数据长度SSL_read：int SSL_read(SSL *ssl, void *buf, int num); // buf用于存储接收数据，num为缓冲区大小
4. 实战案例：电商App抓包分析
4.1 场景描述
某电商App同时使用双向证书绑定和公钥固定，导致常规抓包工具无法解密HTTPS流量。
4.2 操作流程
注入脚本：
frida -U -f com.example.shop -l r0capture.js --no-pause触发网络请求：
- 浏览商品列表
- 提交订单
- 支付操作
数据捕获示例：
{ "timestamp": "2023-07-20T14:30:22Z", "function": "SSL_write", "session_id": "a1b2c3d4", "data": "POST /api/order HTTP/1.1...", "peer": "203.0.113.45:443" }
4.3 高级技巧
- 流量过滤：通过
getpeername识别目标服务器Interceptor.attach(addresses['getpeername'], { onEnter: function(args) { this.sockfd = args[0]; } }); - 性能优化：限制捕获范围避免内存溢出
const MAX_CAPTURE_SIZE = 1024 * 1024; // 1MB限制
5. 企业级应用与疑难解答
5.1 复杂场景应对
- 多进程应用：通过
-f参数指定目标进程 - 证书动态更新：结合
SSL_CTX_set_cert_verify_callbackHook - 混淆对抗：使用Frida的
Module.enumerateImports()定位关键函数
5.2 常见问题排查
| 现象 | 可能原因 | 解决方案 |
|---|---|---|
| 无数据输出 | Frida服务未启动 | 检查frida-ps -U是否列出设备进程 |
| 部分请求缺失 | 使用非标准SSL库 | 扩展Hook库列表 |
| 数据截断 | 缓冲区大小限制 | 调整SSL_read的num参数处理 |
| 应用崩溃 | 线程安全问题 | 添加Thread.safe修饰符 |
在金融App测试项目中，我们发现某应用会检测SSL_read的函数执行时间，通过添加随机延迟成功绕过检测：
onEnter: function(args) { this.startTime = Date.now(); // 添加1-50ms随机延迟 Thread.sleep(Math.random() * 50); }移动安全测试如同猫鼠游戏，r0Capture的价值在于提供了持久有效的底层解决方案。记得某次在分析某社交App时，其自定义了TLS协议栈，最终是通过对比libboringssl的标准实现差异才找到突破口——这提醒我们，工具再强大也需要配合对协议本质的理解。