从抓包失败到逆向分析：我是如何用Objection+Frida定位并绕过App的SSL Pinning的
从抓包失败到逆向分析：我是如何用Objection+Frida定位并绕过App的SSL Pinning的
移动应用安全测试中，抓包分析是基础却关键的环节。但当你信心满满地启动Charles，却发现所有请求都变成了一串乱码或直接失败时，这种挫败感想必不少同行都深有体会。上周在对某金融类App进行安全评估时，我就遭遇了这样的场景——这不是普通的HTTPS拦截问题，而是遇到了难缠的SSL Pinning（证书绑定）机制。本文将完整还原这次技术攻坚的全过程，重点分享如何用Objection和Frida这套黄金组合实现从问题定位到成功绕过的完整闭环。
1. 问题重现与初步诊断
那是一个周二的下午，我像往常一样配置好Charles的CA证书，在测试设备上完成安装和信任设置。当启动目标App时，Charles的会话列表却始终空空如也。更诡异的是，App本身功能完全正常，这意味着服务端通信确实存在，只是抓包工具无法拦截。
典型SSL Pinning的特征包括：
- 抓包工具显示TLS握手失败
- App内部分功能正常但无网络请求捕获
- 出现证书验证相关的错误日志
通过adb logcat捕获到关键报错：
E/NetworkSecurityConfig: Certificate pinning failure! W/System.err: javax.net.ssl.SSLHandshakeException: Certificate validation failed这确认了SSL Pinning的存在。传统解决方案如JustTrustMe模块已经失效，因为该App使用了自定义的证书校验逻辑。此时需要更精细化的分析手段。
2. 工具链准备与环境搭建
工欲善其事，必先利其器。针对移动端逆向分析，我的标准工具包包含：
| 工具名称 | 作用 | 版本要求 |
|---|---|---|
| Frida | 动态插桩框架 | ≥14.2.13 |
| Objection | Frida的CLI封装工具 | ≥1.11.0 |
| ADB | 设备调试桥梁 | ≥1.0.41 |
| JADX-GUI | 反编译查看Java代码 | 最新稳定版 |
环境配置关键步骤：
- 安装Python 3.8+并配置PATH
- 通过pip安装Frida和Objection：
pip install frida-tools objection- 推送匹配设备架构的frida-server：
adb push frida-server-15.1.14-android-arm64 /data/local/tmp/ adb shell "chmod 755 /data/local/tmp/frida-server-15.1.14-android-arm64" adb shell "/data/local/tmp/frida-server-15.1.14-android-arm64 &"验证环境是否就绪：
frida-ps -U # 应显示设备进程列表 objection --help # 应显示帮助菜单3. 动态分析与Hook定位
常规的android sslpinning disable命令这次未能奏效，说明需要深度定制方案。以下是定位校验逻辑的具体过程：
3.1 初步注入与侦查
首先附着到目标进程：
objection -g com.target.app explore执行基础侦查命令：
// 列出所有加载的Native库 memory list modules // 搜索可能包含校验逻辑的类 android hooking search classes X509TrustManager发现关键类com.custom.security.CertChainValidator，其方法verifyPinning极可能就是校验核心。
3.2 方法级Hook实战
对可疑方法进行监控：
android hooking watch class_method com.custom.security.CertChainValidator.verifyPinning \ --dump-args --dump-backtrace --dump-return当触发网络请求时，控制台输出显示：
Argument [0]: [X509Certificate[]] (3 certs) Called from: com.custom.network.SecureHttpClient.checkServerTrusted() Return value: false这验证了该方法确实在执行证书校验。接下来需要分析其内部逻辑。
3.3 Frida精细拦截
Objection的预制命令已不能满足需求，此时需要编写Frida脚本：
// custom_hook.js Java.perform(function() { const Validator = Java.use('com.custom.security.CertChainValidator'); Validator.verifyPinning.implementation = function(certs) { console.log("### Intercepted verifyPinning ###"); console.log("Certificates count: " + certs.length); // 打印证书信息 for (let i = 0; i < certs.length; i++) { console.log(`Cert[${i}]: ${certs[i].getSubjectDN()}`); } // 强制返回true绕过校验 return true; }; });通过Objection加载脚本：
import custom_hook.js4. 校验逻辑分析与稳定绕过
动态Hook揭示了该App的证书绑定策略：
双重校验机制：
- 系统默认的证书链验证
- 自定义的证书指纹比对
指纹存储方式：
- 硬编码在so库的字符串表
- 运行时从配置服务器获取
可靠绕过方案需要：
- 同时禁用系统级验证（OkHttp/Android原生）
- 绕过自定义校验逻辑
- 处理潜在的证书时效检查
最终形成的组合方案：
// bypass_ssl_pinning.js Java.perform(function() { // 处理系统级验证 const TrustManager = Java.use('javax.net.ssl.X509TrustManager'); TrustManager.checkServerTrusted.implementation = function() { console.log("[+] Bypassing system SSL verification"); return this.checkServerTrusted.apply(this, arguments); }; // 处理自定义验证 const CustomValidator = Java.use('com.custom.security.CertChainValidator'); CustomValidator.verifyPinning.implementation = function() { console.log("[+] Bypassing custom pinning check"); return true; }; // 可选：处理证书刷新逻辑 const CertCache = Java.use('com.custom.security.CertificateCache'); CertCache.isValid.implementation = function() { return true; }; });5. 验证与效果对比
实施绕过方案前后的关键指标对比：
| 检测项 | 绕过前状态 | 绕过后状态 |
|---|---|---|
| Charles抓包 | 全部失败 | 成功捕获所有请求 |
| App功能完整性 | 正常 | 正常 |
| 服务端响应码 | 403 Forbidden | 200 OK |
| 日志错误信息 | 证书验证失败 | 无相关错误 |
通过Wireshark抓取的TLS握手包对比显示，绕过前后ClientHello中的扩展字段保持一致，证明我们的修改仅影响了证书验证阶段，没有引入其他特征。
6. 进阶技巧与异常处理
在实际项目中，可能会遇到更复杂的情况：
场景1：证书动态加载
// 监控证书加载过程 Java.use('java.security.KeyStore').load.overload( 'java.io.InputStream', '[C').implementation = function(stream, password) { console.log("### KeyStore.load intercepted ###"); // 可以在此处dump证书内容 return this.load(stream, password); };场景2：Native层校验需要结合Frida的Native API：
Interceptor.attach(Module.findExportByName("libsecurity.so", "verify_signature"), { onLeave: function(retval) { console.log("Bypassing native signature check"); retval.replace(0x1); // 强制返回成功 } });常见问题处理：
- 注入失败：检查frida-server是否正常运行，端口是否被占用
- 方法找不到：确认类名是否正确，注意Proguard混淆
- 崩溃恢复：使用
--pause参数启动，在崩溃后重新附着
7. 防御方案与对抗思路
作为开发者，如何增强SSL Pinning的防护强度？
多因素校验：
- 证书指纹 + 公钥哈希
- 证书链完整性验证
动态校验：
// 示例：动态生成校验逻辑 String getValidationAlgorithm() { return new StringBuilder("SHA-") .append(new Random().nextInt(2) + 1) .toString(); }Native层实现： 将核心校验逻辑移植到JNI中，增加逆向难度
环境检测：
- 检测Frida等调试工具
- 验证应用签名
在一次真实渗透测试中，目标App甚至检测了内存中的frida-agent字符串，这要求我们修改Frida的默认特征。对抗永远在升级，这就是安全研究的魅力所在。