1. HTTPS证书校验的基本原理与安卓实现在安卓开发和安全研究中HTTPS证书校验是一个绕不开的话题。HTTPS作为HTTP的安全版本通过TLS/SSL协议为通信提供加密和身份验证。证书校验正是这一安全机制的核心组成部分。当安卓应用发起HTTPS请求时系统会执行以下校验流程证书链验证系统会检查服务器返回的证书是否由受信任的证书颁发机构(CA)签发并验证整个证书链的有效性。这包括检查证书是否过期检查证书的签名算法是否安全验证证书的主题名称是否与请求的域名匹配公钥固定(Pinning)更严格的应用会实现证书或公钥固定直接将预期的证书或公钥哈希值硬编码在应用中只接受特定证书的连接。安卓平台提供了多种证书校验的实现方式// 默认信任所有系统CA证书的简单实现 HttpsURLConnection connection (HttpsURLConnection) url.openConnection(); connection.setSSLSocketFactory(context.getSocketFactory());2. 常见的证书校验绕过技术2.1 代理工具中间人攻击使用Charles、Fiddler等代理工具抓包时这些工具会动态生成证书进行中间人攻击。要绕过基础校验可以在设备上安装代理工具的根证书将证书安装到系统信任存储中adb push charles.pem /system/etc/security/cacerts adb shell chmod 644 /system/etc/security/cacerts/charles.pem注意在Android 7.0及以上版本中应用默认不再信任用户安装的证书需要额外配置。2.2 修改APK禁用证书校验对于实现了证书固定的应用可以通过反编译修改代码使用apktool解包APKapktool d target.apk定位并修改网络相关代码通常需要关注OkHttpClient的CertificatePinner配置TrustManager相关实现X509TrustManager的自定义实现重新打包并签名apktool b target -o modified.apk keytool -genkey -v -keystore debug.keystore -alias androiddebugkey -keyalg RSA -keysize 2048 -validity 10000 jarsigner -verbose -sigalg SHA1withRSA -digestalg SHA1 -keystore debug.keystore modified.apk androiddebugkey2.3 使用Frida动态Hook对于无法简单修改APK的情况可以使用Frida进行运行时Hook// 绕过证书验证的Frida脚本 Java.perform(function() { var X509TrustManager Java.use(javax.net.ssl.X509TrustManager); var TrustManager Java.registerClass({ name: com.example.TrustManager, implements: [X509TrustManager], methods: { checkClientTrusted: function(chain, authType) {}, checkServerTrusted: function(chain, authType) {}, getAcceptedIssuers: function() { return []; } } }); var SSLContext Java.use(javax.net.ssl.SSLContext); SSLContext.init.overload([Ljavax.net.ssl.KeyManager;, [Ljavax.net.ssl.TrustManager;, java.security.SecureRandom).implementation function(kms, tms, sr) { this.init(kms, [TrustManager.$new()], sr); }; });3. 安卓各版本的证书校验差异不同安卓版本对证书校验的处理有显著差异安卓版本用户证书信任网络安全配置备注7.0信任用户证书无强制配置简单安装CA证书即可7.0-8.1默认不信任用户证书需配置networkSecurityConfig需要修改应用或系统配置9.0强化证书固定限制明文流量更严格的安全策略对于Android 7.0以上版本需要在应用的AndroidManifest.xml中配置网络安全配置文件application android:networkSecurityConfigxml/network_security_config ... /application对应的network_security_config.xml文件示例network-security-config base-config cleartextTrafficPermittedtrue trust-anchors certificates srcsystem / certificates srcuser / /trust-anchors /base-config /network-security-config4. 高级绕过技术针对证书固定的处理4.1 使用objection自动化Hookobjection是基于Frida的命令行工具可以快速Hook常见的安全机制objection -g com.target.app explore android sslpinning disable4.2 二进制修改so文件对于native层实现的证书固定需要分析并修改so文件使用IDA Pro或Ghidra反编译so文件定位证书验证相关函数如SSL_CTX_set_cert_verify_callback修改指令绕过验证逻辑重新打包APK4.3 使用Xposed模块开发Xposed模块来Hook系统级的证书验证public class CertBypass implements IXposedHookLoadPackage { public void handleLoadPackage(XC_LoadPackage.LoadPackageParam lpparam) throws Throwable { if (!lpparam.packageName.equals(com.target.app)) return; XposedHelpers.findAndHookMethod(javax.net.ssl.HttpsURLConnection, lpparam.classLoader, setDefaultHostnameVerifier, HostnameVerifier.class, new XC_MethodHook() { Override protected void beforeHookedMethod(MethodHookParam param) throws Throwable { param.args[0] new AllHostsValidVerifier(); } }); } } class AllHostsValidVerifier implements HostnameVerifier { public boolean verify(String hostname, SSLSession session) { return true; } }5. 实际案例分析绕过某金融类APP的证书固定以某银行APP为例其使用了多层证书保护初步分析使用apktool解包发现okhttp3的CertificatePinner配置在smali代码中找到公钥哈希值发现native层还有额外的验证逻辑解决方案修改smali代码移除CertificatePinner使用Frida Hook native验证函数配置代理工具使用正确的证书关键Frida脚本片段Interceptor.attach(Module.findExportByName(libnative-lib.so, verify_cert), { onLeave: function(retval) { retval.replace(0x1); // 强制返回验证成功 } });验证步骤使用Burp Suite拦截HTTPS请求确认可以查看加密的请求和响应验证关键业务接口是否正常工作6. 防御措施与最佳实践作为开发者如何防止自己的应用被轻易绕过证书校验多层防御策略同时实现Java层和Native层的证书固定使用不同的验证逻辑相互校验定期更换公钥哈希值运行时完整性检查检测应用是否被重打包检查调试器是否附加验证关键类是否被Hook服务端配合实现双向证书认证使用客户端证书增强安全性监控异常请求模式示例代码检测Frida等调试工具public static boolean isDebuggerConnected() { return Debug.isDebuggerConnected() || (BuildConfig.DEBUG !isReleaseBuild()); } private static boolean isReleaseBuild() { try { ApplicationInfo info context.getApplicationInfo(); return (info.flags ApplicationInfo.FLAG_DEBUGGABLE) 0; } catch (Exception e) { return false; } }7. 工具链与资源推荐7.1 常用工具列表工具名称用途备注Burp Suite抓包分析专业版支持更多功能Frida动态Hook支持Java和Native层ObjectionFrida封装简化常见操作apktoolAPK反编译获取smali代码JD-GUIJava反编译查看dex代码IDA Pro二进制分析逆向so文件7.2 学习资源《安卓应用安全测试实战》- 详细讲解各种逆向技术OWASP Mobile Security Testing Guide - 权威的移动安全测试指南Frida官方文档 - 掌握Hook技术的利器XDA开发者论坛 - 获取最新的逆向技术讨论在实际操作中我发现很多应用虽然实现了证书固定但往往只在一处进行验证。通过全面分析网络请求的各个层级URLConnection、OkHttp、WebView等通常都能找到突破口。最重要的是保持耐心逐步分析应用的网络通信架构。