Комментарии 17
а в случае если нет на железке джейла, то можно сделать вот так
По вашей ссылке предлагается:
— либо засунуть на девайс левый сертификат (но против certificate pinning не поможет)
— либо изменить код приложения (ну это если у вас есть этот самый код)
Таким образом если у нас нету кода приложения и приложение юзает cert. pinning — мы скорее всего в пролете. Метод в статье позволяет обойти это ограничение.
— либо засунуть на девайс левый сертификат (но против certificate pinning не поможет)
— либо изменить код приложения (ну это если у вас есть этот самый код)
Таким образом если у нас нету кода приложения и приложение юзает cert. pinning — мы скорее всего в пролете. Метод в статье позволяет обойти это ограничение.
Есть же официальная документация [Capture Traffic from iOS Device](http://docs.telerik.com/fiddler/configure-fiddler/tasks/configureforios) без всяких сторонних утилит. Всего-то сертификат локальный нужно установить.
Попробуйте увидеть таким способом трафик от Twitter например? Я почему-то уверен что не получится. Если приложение использует certificate pinning, оно не поверит вашему локальному сертификату. Ему вообще будет плевать какие сертификаты установлены в системе.
Ок, понял. Помню, что мне интересно было посмотреть как-то одно приложение — работало без проблем, но о certificate pinning не слышал.
Сейчас многие приложения используют cert. pinning — это одна из рекомендаций OWASP если я не ошибаюсь. Раньше такого действительно поменьше было, еще года два назад этой ерундой страдали считанные приложения. Сейчас такое попадается все чаще и чаще, и надо с этим как-то бороться :) Ну вот в статье как раз один из способов. Есть и другие, но они более геморные или требуют спецподготовки (вроде умения загнать чужое приложение без исходников под отладку и перехватить вызовы некоторых функций).
Отлично. То что было нужно, и без всяких sslstrip извращений на роутере
ios 6.1.4
ios 6.1.4
Спасибо за ваш отзыв ) Только учтите что для iOS 6.1 нужна другая версия патча: github.com/iSECPartners/ios-ssl-kill-switch/releases/tag/release-0.5
PC с Windows 7 и установленной последней версией Fiddler2
Fiddler вроде как портирован и на мак. Я например месяц назад без проблем снифил.
Использую CharlesProxy для iOS/Android, 50$ не жалко за отличный инструмент, который меня не раз спасал
в Charles тоже есть, не так удобно подмена сделана, но ненамного. Если что-то хитрое подменять надо, всегда программисты помогают :) У меня Fiddler вроде не падал особо, но не скажу что я прям активно им пользовался
Аплоад картинки в инстаграм сквозь фиддлер не проходит. В инстаграме пишется Failed, в фиддлере на всех запросах в ответе идет 502 Bad Gateway и HTTPS-запросы подсвечены красным.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Пару слов о перехвате HTTP/HTTPS трафика iOS приложений