记录一次绕过 Android 服务端的证书校验的详细过程

查看 169|回复 11
作者:Yinsel   
前言
在过程中还有些许问题需要大家一起来探讨,就是关于Java层Hook很多都Hook不到,即使尝试延迟注入也一样,并且在调用堆栈看也有调用,谢谢各位支持!
本来想挑一个 APP 抓包练练手,因为基础不是很好,想提升实战水平,结果一不小心挑了个不寻常的(对于我而言,大佬勿喷),但因为自己比较固执,不死心,花了几天时间总算搞定了,但还是有些问题,希望有懂行大佬指点一下。
该 APP 使用了 org.conscrypt 库,据了解,这一个封装基于 OpenSSL 的库,在 Github 上也有 1.3k Star 但是网上并没有相关的文章,很少,最终还是通过翻阅源码找到一个关键的 So 层函数作为 Hook 点将私钥导出。
本文章 Hook 脚本均参考了网上的文章以及借助 ChatGPT 所编写,并且经过许多次调试,因为自己不是特别熟悉 frida JS API,还需要多练,多实战,因此写了这篇文章记录自己的过程,以分享自己的思路,给有需要的人一些参考,避免踩坑。
详细过程
设置代理
目前手机已 root,已安装 Burp 证书至系统,当然用 JustTrustMe 也可以干掉客户端的证书校验,比较简单也没检测 VPN,随后开启热点,使用安卓端 proxifier 开启 VPN 让指定 APP 走 Burp:
设置 Burp 代理:


1.png (116.08 KB, 下载次数: 0)
下载附件
2024-8-22 15:43 上传

指定 APP:


2.png (105.45 KB, 下载次数: 0)
下载附件
2024-8-22 15:44 上传

发现服务端的证书校验
进入 APP,发现一切正常:


3.png (635.28 KB, 下载次数: 0)
下载附件
2024-8-22 15:44 上传

在输入框中随便输入,点击加入,服务端返回 400,并且是 No required SLL certifucate was sent:


4.png (108.17 KB, 下载次数: 0)
下载附件
2024-8-22 15:44 上传



5.png (246.92 KB, 下载次数: 0)
下载附件
2024-8-22 15:44 上传

解包寻找 APK 中的证书
使用 Jadx-gui 对 APK 进行反编译,发现资源部分有几个关键证书:


6.png (38.95 KB, 下载次数: 0)
下载附件
2024-8-22 15:44 上传



7.png (19.72 KB, 下载次数: 0)
下载附件
2024-8-22 15:44 上传

但这些 grp_sp.bks 、hmsincas.bks 、hmsrootcas.bks 都是 SDK 相关的证书,而 trust.crt 有点可疑,使用 XCA 对 trust.crt 进行查看:


8.png (91.33 KB, 下载次数: 0)
下载附件
2024-8-22 15:44 上传

trust.crt 包含多个公钥证书,还有一些 CA 证书,应该是证书信任链,不是客户端证书,因此解包寻找证书无果。
尝试大佬的 frida 自吐脚本和 r0capture
自吐脚本
于是我参考了这位大佬的文章:https://xz.aliyun.com/t/12993,使用其中的 frida 自吐脚本尝试 Hook 看有没有发现,脚本链接:https://github.com/WithSecureLabs/android-keystore-audit/blob/master/frida-scripts/tracer-keystore.js
这里我用的是 JsHook,使用 frida 还是非常方便的:


9.png (112.59 KB, 下载次数: 0)
下载附件
2024-8-22 15:44 上传

开启 frida-server 服务及端口转发,复制自吐脚本,并以 spawn 模式启动 App:
# 端口转发
adb forward tcp:28042 tcp:28042
# 以spawn启动
frida -H 127.0.0.1:28042 -f  -l hook.js
发现啥也没有:


10.png (161.58 KB, 下载次数: 0)
下载附件
2024-8-22 15:44 上传

尝试手动抛出异常打印堆栈:
console.log(Java.use("android.util.Log").getStackTraceString(Java.use("java.lang.Throwable").$new()));


11.png (110.57 KB, 下载次数: 0)
下载附件
2024-8-22 15:44 上传

也没发现,不过有一行看起来跟证书相关的类,这里先记一下:
ak.im.module.AkeyChatX509PrivateCA.clientBootstrapCertInfo(AkeyChatX509PrivateCA.java:8)
r0capture 通杀脚本
一句话启动:
python r0capture.py -H 127.0.0.1:28042 -f  -v


12.png (198.46 KB, 下载次数: 0)
下载附件
2024-8-22 15:44 上传

还是无果,内容还是加密的,证书也未导出,看调用堆栈可知,使用了 org.conscrypt 库,搜了一下发现是 Google 开发的一个基于 OpenSSL 封装的 SSL/TLS 加密库,有点用,先记着。
反编译 Hook 证书
用了大佬们的脚本都无果,其实到这有点想放弃了,不过还没仔细看代码,根据上文的堆栈信息查找与证书有关的类名:


13.png (142.25 KB, 下载次数: 0)
下载附件
2024-8-22 15:44 上传

发现有个函数返回了证书,尝试 hook 它试试,jadx-gui 很方便,可以右键直接复制 Hook 代码:
function hook() {
    Java.perform(function () {
        let AkeyChatX509PrivateCA = Java.use("ak.im.module.AkeyChatX509PrivateCA");
        AkeyChatX509PrivateCA["clientBootstrapCertInfo"].implementation = function () {
            console.log(`AkeyChatX509PrivateCA.clientBootstrapCertInfo is called`);
            let result = this["clientBootstrapCertInfo"]();
            console.log(`AkeyChatX509PrivateCA.clientBootstrapCertInfo result=${result}`);
            return result;
        };
    });
}
结果打印了一个证书,从 X509 Extend Usage 中的 Web Client Authentication 看以及关键字眼 android,可以判断这个就是客户端证书:
·


14.png (135.19 KB, 下载次数: 0)
下载附件
2024-8-22 15:44 上传

将其 dump 出来:
function hook() {
    Java.perform(function () {
        let AkeyChatX509PrivateCA = Java.use("ak.im.module.AkeyChatX509PrivateCA");
        AkeyChatX509PrivateCA["clientBootstrapCertInfo"].implementation = function () {
            console.log("AkeyChatX509PrivateCA.clientBootstrapCertInfo is called");
            // 调用原始方法,获取返回的 X509Certificate 对象
            let result = this.clientBootstrapCertInfo();
            console.log("AkeyChatX509PrivateCA.clientBootstrapCertInfo result:", result)
            // 获取 DER 编码的字节数组
            let cert = result.getEncoded();
            let bytes = Memory.readByteArray(cert,cert.length)
            const file = new File("/sdcard/Download/clent.crt", "wb");
            file.write(bytes);
            // 返回原始结果
            return result;
        };
    });
}
hook();


15.png (66.77 KB, 下载次数: 0)
下载附件
2024-8-22 15:44 上传

有个问题,这证书从哪来的? 只能先抛开不谈,现在证书有了,私钥呢?常规 APP 一般不都打包成 bks、p12、jks 这类的文件然后设置个密码,但这 APP 不走寻找路,于是我尝试了各种 Hook,如下图,涉及私钥和证书的 Java 层方法都尝试过:


16.png (169.38 KB, 下载次数: 0)
下载附件
2024-8-22 15:45 上传

以及 javax.net.ssl.* org.conscrypt 库的一些 Java 层的关键方法,要么 Hook 不到(这里可能是 Hook 时机不对或者没调用,很多都没 Hook 到),要么为 null,心态崩了,但我还是不想放弃,于是去找 native 层。
寻找 So 层 Hook 点
下载 org.conscrypt 的源码:https://github.com/google/conscrypt,使用 VScode 打开寻找关键词,尝试 Hook,最终找到了一处:


17.png (187.49 KB, 下载次数: 0)
下载附件
2024-8-22 15:45 上传

其中 keyJavaBytes 根据语义以及函数名可以判断这个跟私钥有关,但是我发现这个函数在 Java 层有被调用,尝试 Hook 他们却没反应


18.png (59.63 KB, 下载次数: 0)
下载附件
2024-8-22 15:45 上传

先暂时不管,直接尝试 Hook 这个函数,打印 jbyteArray 的内存数据,找到 APP 加载的 So 文件名为:libconscrypt_jni.so,frida 脚本如下:
function hookFunc(funcAddr, name) {
    Interceptor.attach(funcAddr, {
        onEnter: function (args) {
            const key = args[1]
            const dump = hexdump(key, {
                offset: 0,
                length: 0x1000,
                 headers: true,
                 ansi: true
                })
            console.log(hex);
        },
        onLeave: function (retval) {
        },
    });
}
function hook() {
    Interceptor.attach(Module.findExportByName(null, "android_dlopen_ext"), {
        onEnter: function (args) {
            var pathptr = args[0];
            if (pathptr !== undefined && pathptr != null) {
                var path = ptr(pathptr).readCString();
                if (path.indexOf("libconscrypt_jni.so") !== -1) {
                    console.log("dlopen: " + path);
                    this.path = path;
                }
            }
        },
        onLeave: function (retval) {
            if (this.path !== undefined) {
                // 获取模块的 base 地址
                var baseAddress = Module.findBaseAddress(this.path);
                if (baseAddress !== null) {
                    console.log("Module base address: " + baseAddress);
                    // 遍历导出表
                    console.log("Listing exports in " + this.path);
                    Module.enumerateExports(this.path, {
                        onMatch: function (symbol) {
                            if (symbol.name.indexOf("EVP_parse_private_key") !== -1) {
                                console.log(symbol.name + "---" + symbol.address.toString());
                                hookFunc(symbol.address, symbol.name)
                            }
                        },
                        onComplete: function () {
                        }
                    });
                }
            }
        }
    });
}
hook();


19.png (120.33 KB, 下载次数: 0)
下载附件
2024-8-22 15:45 上传

这里我尝试用很多中办法都没法得到 jbyteArray 的长度,调用 JNI 的 GetArrayLength 方法会导致闪退,具体原因未知,只能预先 dump 大小为 0x1000,有需要也可以更大,将其 dump 至 /sdcard/Download 下,替换上方的 hook 函数:
function hook(funcAddr, name) {
    Interceptor.attach(funcAddr, {
        onEnter: function (args) {
            console.log(name + " enter");
            const bytes = Memory.readByteArray(args[1], 0x1000);
            const file = new File("/sdcard/Download/private.pem", "wb");
            file.write(bytes);
        },
        onLeave: function (retval) {
        },
    });
}
私钥如下:


20.png (80.83 KB, 下载次数: 0)
下载附件
2024-8-22 15:45 上传

导入 XCA,查看之前的证书,可以发现私钥对应上了:


21.png (76.34 KB, 下载次数: 0)
下载附件
2024-8-22 15:45 上传

使用 XCA 直接导出为 p12:


22.png (49.14 KB, 下载次数: 0)
下载附件
2024-8-22 15:45 上传

导入至 burp:


23.png (69.14 KB, 下载次数: 0)
下载附件
2024-8-22 15:45 上传

发包,成功:


24.png (155.94 KB, 下载次数: 0)
下载附件
2024-8-22 15:45 上传

不知道这种方法能不能对使用了 org.conscrypt 库的 App 通杀,后续研究一下。
参考链接
https://xz.aliyun.com/t/12993
https://bbs.kanxue.com/thread-280089.htm
https://bbs.kanxue.com/thread-281584.htm

下载次数, 证书

1itcu   

这个是不是就是SSL Pining?之前遇到过类似的,用的是Magisk+Lsposed+TrustMeAlready解决的
LiNix   

E:\Temp\1.png
楼主大大,为什么我用burp抓包没有出现那个校验证书的数据包?是版本不对还是哪里设置问题?我的burp版本为V2020.12
用charles抓包出现了那个包,但是没有url地址,确实不方便,想分析无从下手。
debug_cat   

思路和分析过程都很详细!
terwer   

感谢分享,学习了
Yinsel
OP
  


debug_cat 发表于 2024-8-12 09:17
思路和分析过程都很详细!

感谢支持
liruibei572   

感谢分享,学习学习
Cleopatra   

6的又学习到了一招了
SunnyLee   

学习了学习了
musiccard   

厉害了大神
您需要登录后才可以回帖 登录 | 立即注册

返回顶部