安卓HTTPS证书校验原理与绕过技术详解

1. HTTPS证书校验的基本原理与安卓实现

在安卓开发和安全研究中，HTTPS证书校验是一个绕不开的话题。HTTPS作为HTTP的安全版本，通过TLS/SSL协议为通信提供加密和身份验证。证书校验正是这一安全机制的核心组成部分。

当安卓应用发起HTTPS请求时，系统会执行以下校验流程：

1. 证书链验证：系统会检查服务器返回的证书是否由受信任的证书颁发机构(CA)签发，并验证整个证书链的有效性。这包括：

   • 检查证书是否过期
   • 检查证书的签名算法是否安全
   • 验证证书的主题名称是否与请求的域名匹配

2. 公钥固定(Pinning)：更严格的应用会实现证书或公钥固定，直接将预期的证书或公钥哈希值硬编码在应用中，只接受特定证书的连接。

安卓平台提供了多种证书校验的实现方式：

// 默认信任所有系统CA证书的简单实现 HttpsURLConnection connection = (HttpsURLConnection) url.openConnection(); connection.setSSLSocketFactory(context.getSocketFactory());

2. 常见的证书校验绕过技术

2.1 代理工具中间人攻击

使用Charles、Fiddler等代理工具抓包时，这些工具会动态生成证书进行中间人攻击。要绕过基础校验，可以：

1. 在设备上安装代理工具的根证书
2. 将证书安装到系统信任存储中：

   adb push charles.pem /system/etc/security/cacerts adb shell chmod 644 /system/etc/security/cacerts/charles.pem

注意：在Android 7.0及以上版本中，应用默认不再信任用户安装的证书，需要额外配置。

2.2 修改APK禁用证书校验

对于实现了证书固定的应用，可以通过反编译修改代码：

1. 使用apktool解包APK：

   apktool d target.apk

2. 定位并修改网络相关代码，通常需要关注：

   • OkHttpClient的CertificatePinner配置
   • TrustManager相关实现
   • X509TrustManager的自定义实现

3. 重新打包并签名：

   apktool b target -o modified.apk keytool -genkey -v -keystore debug.keystore -alias androiddebugkey -keyalg RSA -keysize 2048 -validity 10000 jarsigner -verbose -sigalg SHA1withRSA -digestalg SHA1 -keystore debug.keystore modified.apk androiddebugkey

2.3 使用Frida动态Hook

对于无法简单修改APK的情况，可以使用Frida进行运行时Hook：

// 绕过证书验证的Frida脚本 Java.perform(function() { var X509TrustManager = Java.use('javax.net.ssl.X509TrustManager'); var TrustManager = Java.registerClass({ name: 'com.example.TrustManager', implements: [X509TrustManager], methods: { checkClientTrusted: function(chain, authType) {}, checkServerTrusted: function(chain, authType) {}, getAcceptedIssuers: function() { return []; } } }); var SSLContext = Java.use('javax.net.ssl.SSLContext'); SSLContext.init.overload('[Ljavax.net.ssl.KeyManager;', '[Ljavax.net.ssl.TrustManager;', 'java.security.SecureRandom').implementation = function(kms, tms, sr) { this.init(kms, [TrustManager.$new()], sr); }; });

3. 安卓各版本的证书校验差异

不同安卓版本对证书校验的处理有显著差异：

对于Android 7.0以上版本，需要在应用的AndroidManifest.xml中配置网络安全配置文件：

<application android:networkSecurityConfig="@xml/network_security_config" ... > </application>

对应的network_security_config.xml文件示例：

<network-security-config> <base-config cleartextTrafficPermitted="true"> <trust-anchors> <certificates src="system" /> <certificates src="user" /> </trust-anchors> </base-config> </network-security-config>

4. 高级绕过技术：针对证书固定的处理

4.1 使用objection自动化Hook

objection是基于Frida的命令行工具，可以快速Hook常见的安全机制：

objection -g com.target.app explore android sslpinning disable

4.2 二进制修改so文件

对于native层实现的证书固定，需要分析并修改so文件：

1. 使用IDA Pro或Ghidra反编译so文件
2. 定位证书验证相关函数（如SSL_CTX_set_cert_verify_callback）
3. 修改指令绕过验证逻辑
4. 重新打包APK

4.3 使用Xposed模块

开发Xposed模块来Hook系统级的证书验证：

public class CertBypass implements IXposedHookLoadPackage { public void handleLoadPackage(XC_LoadPackage.LoadPackageParam lpparam) throws Throwable { if (!lpparam.packageName.equals("com.target.app")) return; XposedHelpers.findAndHookMethod("javax.net.ssl.HttpsURLConnection", lpparam.classLoader, "setDefaultHostnameVerifier", HostnameVerifier.class, new XC_MethodHook() { @Override protected void beforeHookedMethod(MethodHookParam param) throws Throwable { param.args[0] = new AllHostsValidVerifier(); } }); } } class AllHostsValidVerifier implements HostnameVerifier { public boolean verify(String hostname, SSLSession session) { return true; } }

5. 实际案例分析：绕过某金融类APP的证书固定

以某银行APP为例，其使用了多层证书保护：

1. 初步分析：

   • 使用apktool解包发现okhttp3的CertificatePinner配置
   • 在smali代码中找到公钥哈希值
   • 发现native层还有额外的验证逻辑

2. 解决方案：

   • 修改smali代码移除CertificatePinner
   • 使用Frida Hook native验证函数
   • 配置代理工具使用正确的证书

关键Frida脚本片段：

Interceptor.attach(Module.findExportByName("libnative-lib.so", "verify_cert"), { onLeave: function(retval) { retval.replace(0x1); // 强制返回验证成功 } });

3. 验证步骤：
   • 使用Burp Suite拦截HTTPS请求
   • 确认可以查看加密的请求和响应
   • 验证关键业务接口是否正常工作

6. 防御措施与最佳实践

作为开发者，如何防止自己的应用被轻易绕过证书校验？

1. 多层防御策略：

   • 同时实现Java层和Native层的证书固定
   • 使用不同的验证逻辑相互校验
   • 定期更换公钥哈希值

2. 运行时完整性检查：

   • 检测应用是否被重打包
   • 检查调试器是否附加
   • 验证关键类是否被Hook

3. 服务端配合：

   • 实现双向证书认证
   • 使用客户端证书增强安全性
   • 监控异常请求模式

示例代码：检测Frida等调试工具

public static boolean isDebuggerConnected() { return Debug.isDebuggerConnected() || (BuildConfig.DEBUG && !isReleaseBuild()); } private static boolean isReleaseBuild() { try { ApplicationInfo info = context.getApplicationInfo(); return (info.flags & ApplicationInfo.FLAG_DEBUGGABLE) == 0; } catch (Exception e) { return false; } }

7. 工具链与资源推荐

7.1 常用工具列表

7.2 学习资源

1. 《安卓应用安全测试实战》- 详细讲解各种逆向技术
2. OWASP Mobile Security Testing Guide - 权威的移动安全测试指南
3. Frida官方文档 - 掌握Hook技术的利器
4. XDA开发者论坛 - 获取最新的逆向技术讨论

在实际操作中，我发现很多应用虽然实现了证书固定，但往往只在一处进行验证。通过全面分析网络请求的各个层级（URLConnection、OkHttp、WebView等），通常都能找到突破口。最重要的是保持耐心，逐步分析应用的网络通信架构。