Анализ трафика Android-приложений: обход certificate pinning без реверс-инжиниринга

[aymeshkov]

В скором времени инструкцию надо будет расширить.

В Android Nougat приложения перестанут доверять пользовательским сертификатам если это отдельно не указано в network security configuration:
https://developer.android.com/preview/api-overview.html?hl=en#default_trusted_ca

[alexbers]

Есть другой способ. Можно установить на своём сервере Nginx, настроить его пробрасывать трафик с http на https хоста с API и поменять везде в приложении адреса с https на http.

Для приложения Uber такой способ работает.

[Desem]

можно поподробней? не понял Вашей схемы

[alexbers]

Прописываем в nginx следующее:

server {
    listen 0.0.0.0:80;
    server_name test.alexbers.com;

    location / {
            proxy_pass         https://cn-dca1.uber.com/;
            proxy_redirect     off;
    }      
}

Это заставит его пробрасывать соединения с 80 порта нашего сервера на 443 порт сервера убер. Затем меняем все адреса вида https://cn-dca1.uber.com/ в приложении на адреса вида http://alexbers.com/.

Теперь приложение будет использовать http вместо https.

[Falseclock]

ваш метод хороший, спору нет. Но вот телодвижений и затраченного времени и ресурсов больше.

[StirolXXX]

Да, это если можно поменять…

Например с приложением КиноПоиск такой фокус не прокатит — декомпилировать что-бы поменять адрес не выходит, а без декомпиляции я не могу поменять ничего в classes.dex

[Falseclock]

для этого есть xposed. декомпилируем до smali, через grep находим все адреса и вперед. Правда убер обфусцирует весь код при каждой компиляции с рандомным выбором начала алфавита, поэтому придется шерстить все классы на bestmatch, что требует нормального телефона с минимум 2 Гб памяти и хорошим процессором, иначе будет тормозить.

[StirolXXX]

Писать модули для xposed — это для меня уже сложно.

[and7ey]

Можете ли вы пошаговую инструкцию написать про это? Было бы интересно почитать-попробовать?

И чего делает кинопоиск, чтоб декомпилировать было нельзя?

[Falseclock]

Уже давно написано

habrahabr.ru/post/318202

[Falseclock]

и вообще в тэги хорош бы добавить uber, а то искал публикации на эту тему и не нашел. планирую написать статеечку как выяснять водителям заранее куда поедет пассажир