1. 项目概述为什么高版本Android抓包成了“老大难”如果你做过移动端安全测试或者逆向分析肯定遇到过这个头疼的问题在Android 7.0API 24之后系统对HTTPS流量的安全策略收紧了。简单来说就是你没法像以前那样随便在手机上装个Burp Suite或者Charles的CA证书就能愉快地抓取所有App的HTTPS包了。系统默认不再信任用户安装的证书导致很多App特别是那些做了证书绑定SSL Pinning或者严格遵循系统安全策略的App直接“免疫”了你的抓包工具流量该走加密通道还是走加密通道你这边看到的只是一片“Connection Reset”或者“Certificate Pinning Failure”。这个问题的核心在于Android系统的网络安全配置Network Security Configuration。从Android 7开始App可以并且越来越多的App选择在其配置中声明只信任系统预置的CA证书而忽略用户凭据存储区里的证书。这就把我们这些安全研究员、开发测试人员常用的“用户证书”这条路给堵死了。所以要想在高版本Android上实现全局HTTPS抓包思路就必须从“让App信任我的证书”转变为“让系统把我的证书当成系统证书”。今天要聊的“逍遥模拟器Burp Suite”组合就是解决这个难题的一个非常接地气、实操性极强的方案。逍遥模拟器作为一个基于Android 7.1/9.0等内核的桌面端模拟器它给了我们一个绝佳的环境一个我们可以完全控制的“手机系统”。我们不再需要去折腾真机的Root、刷Magisk模块或者去修改App的源码和签名。在模拟器里我们可以直接以系统管理员的身份将Burp Suite的CA证书安装到系统的受信任凭据存储区实现真正的“系统级”信任。这个方案稳定、可逆、对测试目标App无侵入是进行安全评估、协议分析、逆向调试的利器。2. 环境准备与工具选型背后的逻辑工欲善其事必先利其器。选择逍遥模拟器和Burp Suite这个组合不是随便拍脑袋决定的背后有很强的场景适配性和实操便利性考量。2.1 为什么是逍遥模拟器市面上Android模拟器很多比如蓝叠、夜神、雷电等。选择逍遥模拟器主要基于以下几点实战考量内核版本可控且较新逍遥模拟器稳定版通常提供Android 7.1和9.0等镜像这正好覆盖了我们所需的高版本Android环境。太老的版本如4.4没有证书信任问题但很多新App已不兼容太新的版本如12、13在模拟器上可能稳定性欠佳且系统分区挂载方式可能有变。7.1和9.0是一个在“问题存在”和“方案成熟”之间的甜点区。Root权限获取简单且原生逍遥模拟器在设置中直接提供了“Root开关”。打开后adb shell默认就是root用户。这省去了我们刷机、破解的麻烦是进行系统级操作如写入/system分区的前提。其他模拟器可能也需要Root但逍遥的这一步最为直接。系统分区可写这是最关键的一点。高版本Android即使Root了/system分区默认也是只读ro的。我们需要将其重新挂载为可写rw才能放入证书文件。逍遥模拟器的系统镜像对此支持良好通过标准的mount命令即可完成过程稳定可预测。网络桥接模式支持逍遥模拟器的网络设置允许选择“桥接模式”让模拟器内的Android系统像一台真实设备一样从你的路由器获取一个同网段的IP。这样你的物理机和模拟器就在同一个局域网内方便将Burp Suite设置为代理避免了NAT模式可能出现的代理设置复杂问题。注意请务必从逍遥模拟器官方网站下载安装程序。第三方下载站的文件可能被篡改存在安全风险。2.2 为什么是Burp Suite抓包工具也有Fiddler、Charles等优秀产品。Burp Suite成为安全测试领域的“瑞士军刀”在此场景下优势明显拦截与修改能力强大Burp Proxy的拦截Intercept功能是动态测试的核心。我们可以暂停任意请求和响应并直接修改其参数、头部、体内容这对于测试漏洞如越权、注入至关重要。生态与扩展性拥有丰富的插件Extender生态比如用于自动处理证书绑定的SSL Kill Switch等插件虽然我们本次用系统级证书方案可以绕过很多绑定但Burp的扩展能力为后续更复杂的测试提供了可能。项目与协作功能Burp的Project文件可以保存整个会话状态包括代理历史、目标站点地图、插件配置等方便回溯和团队协作。社区与资料丰富遇到任何问题几乎都能找到相关的社区讨论和解决方案学习成本相对较低。对于本指南使用Burp Suite Community免费版即可完成所有抓包操作。专业版Professional的主动扫描Active Scan等功能并非本场景必需。你需要准备的工具清单逍遥模拟器最新稳定版安装时建议选择Android 9.0镜像如果7.1镜像更稳定也可选7.1。Burp Suite从PortSwigger官网下载Community或Professional版。adbAndroid Debug Bridge工具通常包含在Android SDK Platform-Tools中。逍遥模拟器安装后其安装目录下如MEmu文件夹一般也自带adb工具可以直接使用。3. 核心原理系统证书与用户证书的天壤之别在深入实操前花几分钟理解原理能让你在遇到问题时知道从何下手而不是机械地跟着步骤走。Android系统管理CA证书的存储位置主要有两个系统CA证书存储路径为/system/etc/security/cacerts/。这里的证书拥有最高的信任级别被所有App无论其networkSecurityConfig如何配置默认信任。证书文件需要特定的格式和命名规则后续会详述。用户CA证书存储在Android设置中“安全”或“加密与凭据”里“安装证书”的位置。路径通常对应/data/misc/user/0/cacerts-added/因版本而异。这里的证书只有在App的网络安全配置明确声明trust-anchors包含user源时才会被信任。Android 7.0之后Google鼓励开发者使用Network Security Configuration文件。一个典型的、限制较严的配置如下network-security-config base-config cleartextTrafficPermittedfalse trust-anchors certificates srcsystem / /trust-anchors /base-config /network-security-config这个配置意味着App只信任系统CA存储srcsystem中的证书而明确不信任用户安装的证书。这就是为什么你装了Burp证书到用户存储区却抓不到某些App包的根本原因。我们的核心战术利用模拟器的Root权限将Burp Suite生成的CA证书直接“塞进”系统的保险箱——/system/etc/security/cacerts/目录。一旦证书在此落户它就拥有了“免检通行证”所有App都会将其视为可信任的根证书颁发机构HTTPS中间人攻击MITM的通道就此打通。这个方案的优势在于它是在系统层面解决问题不依赖于修改单个App因此是“全局生效”的。无论你测试哪个App只要它走系统网络栈就能被成功抓包。4. 分步实操从零搭建抓包环境下面我们进入最核心的实操环节。请严格按照步骤操作我会在关键点说明“为什么这么做”以及可能遇到的坑。4.1 第一步配置Burp Suite代理与导出证书启动Burp Suite并配置代理监听 打开Burp在Proxy-Options选项卡中找到Proxy Listeners。确保有一个监听器在运行默认127.0.0.1:8080。检查其Running状态为true。最好将Bind to address从Loopback only改为All interfaces或者直接指定你物理机的局域网IP地址。这是因为后续模拟器需要连接到这个代理如果只绑定回环地址127.0.0.1模拟器是无法访问的。导出Burp的CA证书 这是最关键的文件。打开浏览器访问http://burpsuite或http://你的物理机IP:8080。点击CA Certificate按钮下载证书文件。务必选择Der格式保存为cacert.der。为什么是DER格式而不是PEM因为Android系统证书存储要求证书是DER格式并且以特定的哈希值命名。PEM格式是Base64编码的文本系统不认。实操心得有时通过上述HTTP页面下载的证书在后续步骤中可能会遇到“证书无效”的提示。一个更可靠的方法是在Burp Suite的Proxy-Options-Proxy Listeners- 选中你的监听器 -Import / export CA certificate中直接导出证书。选择Export-Certificate in DER format同样保存为cacert.der。4.2 第二步设置逍遥模拟器与网络安装并启动逍遥模拟器创建一个新的实例建议选择Android 9.0镜像。启动后进入模拟器设置。开启Root权限在设置中找到关于平板电脑或类似选项连续点击版本号开启开发者选项。然后在开发者选项中找到并开启Root授权开关。配置网络代理临时步骤在设置-WLAN中长按已连接的Wi-Fi网络通常是WiredSSID或Ethernet选择修改网络。展开高级选项将代理设置为手动。代理服务器主机名填写你物理机的局域网IP地址在Windows上可通过ipconfig查看通常是192.168.x.x在macOS/Linux上用ifconfig或ip addr查看。代理服务器端口填写Burp监听的端口默认为8080。保存。这个步骤的目的是为了让模拟器能访问之前http://burpsuite的地址以下载/安装证书以及后续初始的抓包验证。在完成系统证书安装后这个手动代理可以移除因为Burp的全局流量拦截不依赖于此。4.3 第三步在模拟器内安装用户证书过渡步骤在模拟器的浏览器中访问http://你的物理机IP:8080点击CA Certificate下载证书文件。下载完成后系统会提示你安装证书。给证书起个名字如BurpRoot选择用途为VPN和应用或WLAN根据系统提示。安装需要你输入锁屏密码或确认。安装成功后你可以在设置-安全-加密与凭据-信任的凭据-用户标签页下看到刚刚安装的BurpRoot证书。此时你可以尝试抓取一些系统浏览器或未做严格证书校验的App的HTTPS流量应该已经可以成功。但对于目标App很可能还是失败。这一步主要是为了验证代理连通性并获取证书文件到设备本地方便我们下一步将其转化为系统证书。4.4 第四步获取证书文件并推送到模拟器现在我们需要将证书文件放到一个方便操作的位置。有两个途径途径A推荐更直接使用adb命令将我们在物理机上导出的cacert.der推送到模拟器。# 打开命令行切换到adb所在目录逍遥模拟器安装目录下的adb工具 adb connect 127.0.0.1:21503 # 逍遥模拟器的默认adb连接地址和端口 adb push C:\path\to\your\cacert.der /data/local/tmp/cacert.der21503是逍遥模拟器默认的第一个实例的adb端口。第二个实例通常是21523以此类推。/data/local/tmp/是一个对Shell可读写的临时目录。途径B如果模拟器内浏览器下载的证书找不到或者格式不对可以从用户证书存储中提取。但这需要Root权限且步骤稍复杂这里不展开。推荐直接使用途径A。4.5 第五步关键操作——将用户证书安装为系统证书这是整个流程的技术核心。我们需要将DER格式的证书文件重命名为特定的名称并复制到系统证书目录。adb shell连接并获取Root权限adb shell su执行su后模拟器界面可能会弹出Root授权请求点击“允许”。命令行提示符应该会从$变成#表示已获得超级用户权限。将/system分区重新挂载为可写 默认情况下/system是只读的。mount -o rw,remount /system如果上述命令报错可以尝试指定块设备mount -o rw,remount /dev/block/sda6 /system # 具体设备名可能不同sda6是常见情况可以使用mount | grep system来查看/system当前挂载在哪个设备上。重要警告对/system分区的任何修改都有风险。操作时务必小心不要删除或修改其他无关文件。建议在操作前先对/system/etc/security/cacerts/目录进行备份cp -r /system/etc/security/cacerts/ /sdcard/cacerts_backup/。转换证书格式并计算哈希名 系统证书目录/system/etc/security/cacerts/下的证书文件必须以证书主题的哈希值加.0作为文件名。我们需要计算cacert.der的哈希值。cd /data/local/tmp openssl x509 -inform DER -in cacert.der -subject_hash_old -noout这条命令会输出一个8位的十六进制字符串例如9a5ba575。这就是证书的文件名不含.0。为什么是_old哈希Android早期使用-subject_hash_oldOpenSSL 1.0的算法为了兼容性系统证书存储通常沿用此命名。使用-subject_hashOpenSSL 1.1算法得到的哈希值不同系统可能不识别。将证书复制到系统证书目录cp cacert.der /system/etc/security/cacerts/hash.0请将hash替换为上一步得到的哈希值例如cp cacert.der /system/etc/security/cacerts/9a5ba575.0设置正确的文件权限和所有者 系统证书目录下的文件需要有正确的权限才能被系统读取。chmod 644 /system/etc/security/cacerts/hash.0 chown root:root /system/etc/security/cacerts/hash.0644权限表示所有者可读写组用户和其他用户只读。root:root的所有者和组是系统标准配置。恢复/system分区的只读属性可选但建议mount -o ro,remount /system或者直接重启模拟器系统会自动以只读方式重新挂载。重启是一个很好的验证步骤。4.6 第六步验证与测试重启逍遥模拟器。这是必须的因为系统只会在启动时加载cacerts目录下的证书。移除Wi-Fi手动代理回到模拟器的Wi-Fi设置将代理改回无或无代理。因为系统级证书生效后所有流量都会信任Burp的CA无需再在应用层设置代理指向Burp。我们只需要在Burp Suite中设置好上游代理规则即可。实际上更常见的做法是让模拟器网络保持原始状态不设代理然后在你的物理机或路由器上设置透明代理或流量重定向但这涉及更复杂的网络配置。对于大多数测试我们采用另一种更简单的方法配置模拟器的全局HTTP代理但这不在Wi-Fi设置里而是通过adb命令或某些系统设置App实现。一个更通用的方法是确保Burp Suite监听在所有网卡All interfaces上。在模拟器中安装一个能设置全局代理的App此类App通常需要Root权限将全局代理设置为你的物理机IP:8080。或者对于测试特定App如果该App支持配置代理就在其设置中配置。最简单直接的验证方法打开模拟器的浏览器访问一个HTTPS网站如https://example.com。如果Burp Suite的Proxy-HTTP history中能捕获到该请求且没有证书错误说明系统证书安装成功。你会发现即使没有在Wi-Fi里设置手动代理只要Burp开着且在监听流量也可能被捕获取决于模拟器的网络桥接模式但为了稳定抓取所有App流量建议还是使用能设置全局代理的方法。测试目标App打开你想要抓包分析的App进行正常的操作。此时Burp Suite中应该能够看到清晰的HTTPS请求和响应而不再是之前的一堆TLS handshake failure。5. 疑难杂症与深度排查指南即使按照步骤操作你也可能会遇到一些问题。这里汇总了常见的坑和解决方案。5.1 证书安装后部分App仍抓不到包这是最可能遇到的情况。原因和解决方案如下现象可能原因排查与解决方案目标App的流量完全不见1. App使用了纯TCP/UDP自定义协议不走HTTP/HTTPS。2. App使用了WebSocket或其他长连接在Burp默认配置下可能不直观。3.App启用了证书绑定SSL Pinning。1. 使用Wireshark等底层抓包工具确认是否有流量产生。2. 在Burp的Proxy-Options-Intercept Client Requests中检查是否有过滤规则误删了请求。3.对于证书绑定系统级证书方案可以绕过基于信任锚Trust Anchor的绑定即App只信任系统证书库。但如果App使用了公钥绑定Public Key Pinning或将证书硬编码在代码里则系统级证书也无效。此时需要反编译App修改其网络库代码或使用Frida等Hook框架来绕过。这超出了本指南范围但你可以搜索“SSL Pinning Bypass Frida”来寻找方案。抓到的包响应是乱码或证书错误1. Burp Suite未正确解密HTTPS流量。2. App使用了HTTP/2或HTTP/3Burp的显示可能需调整。3. 网络不稳定导致连接重置。1. 确认系统证书确已安装且哈希命名正确。重启模拟器。2. 在Burp的Proxy-Options-TLS设置中尝试调整TLS协议版本和密码套件以匹配服务器要求。3. 在Burp的User options-TLS中确保Server SSL Certificates里没有旧的无用证书。只有浏览器流量能抓App不行1. 该App可能使用了自己的网络栈如Cronet、OkHttp配置了自定义TrustManager未使用系统默认的SSLContext。2. 模拟器的全局代理未生效App直连了网络。1. 这是最难处理的情况。需要分析App使用的网络库。对于OkHttp如果它配置了自定义的CertificatePinner或TrustManager则系统证书无效。同样需要逆向或Hook。2. 尝试使用更强大的全局代理工具如ProxyDroid需Root确保所有TCP流量都经过Burp。5.2 adb命令常见错误error: device offline模拟器的adb连接不稳定。尝试adb kill-server然后adb start-server再重新连接。remount failed/system分区重挂载失败。确保已执行su获得root权限。尝试使用adb remount命令但此命令在某些系统上可能不可用。最稳妥的方法是进入adb shell后使用mount命令查看/system的具体挂载点然后用mount -o rw,remount /dev/block/[具体设备] /system。openssl command not found模拟器系统镜像可能精简了openssl工具。有两种解决方式从其他完整镜像或通过apt如果支持安装openssl。更简单的方法在你的物理机上计算哈希。在物理机命令行确保已安装OpenSSL执行openssl x509 -inform DER -in cacert.der -subject_hash_old -noout得到哈希值后在adb shell中执行复制和重命名命令时直接使用这个哈希值。5.3 证书相关错误INSTALL_PARSE_FAILED_NO_CERTIFICATES在模拟器内安装证书时出现。这通常是因为下载的证书文件损坏或格式不正确。请务必通过http://burpsuite页面或Burp内建功能导出DER格式证书。系统证书安装后浏览器访问HTTPS站点仍报不安全首先确认证书文件是否已正确放置在/system/etc/security/cacerts/目录权限是否为644所有者是否为root:root。然后清除浏览器数据特别是SSL状态缓存或者使用一个新的浏览器会话进行测试。Android系统会缓存证书信息重启设备是最彻底的清除方式。5.4 网络与代理问题模拟器无法连接物理机Burp代理检查物理机防火墙是否放行了8080端口入站规则。检查Burp Suite的监听器是否绑定在All interfaces或正确的IP上。在模拟器浏览器中直接访问http://物理机IP:8080看是否能打开Burp的欢迎页面。如果不能说明网络不通。尝试将逍遥模拟器的网络模式从NAT改为桥接让模拟器获得一个与物理机同网段的IP这样网络互通性更好。6. 进阶技巧与优化配置掌握了基础方法后这些技巧能让你的抓包工作更高效、更强大。6.1 使用Magisk模块可选进阶如果你熟悉Magisk在已Root的环境下有一个更优雅、无需修改/system分量的方案使用MagiskTrustUserCerts模块。这个模块的作用是将用户安装的证书/data/misc/user/0/cacerts-added/在每次系统启动时自动符号链接symlink到系统证书目录。这样你只需要在设置里安装一次证书重启后它就自动变成系统证书了。优点无需手动操作/system分区避免误操作风险证书管理更方便安装/卸载都在系统设置里完成。缺点需要安装Magisk步骤稍多适合喜欢折腾、需要在多种环境下快速切换证书的用户。在逍遥模拟器上安装Magisk的步骤较为复杂需要刷入特定的补丁镜像此处不展开。但对于真机测试这是一个非常推荐的方案。6.2 配置Burp Suite提升抓包体验过滤无关流量在Proxy-Options-Intercept Client Requests中可以添加过滤规则例如只拦截目标域名的流量*.target.com避免被海量的其他请求如广告、统计SDK干扰。解码和美化对于JSON、XML等格式的响应在Proxy-HTTP history中右键响应内容选择Send to Repeater然后在Repeater的Pretty、Hex等标签页下查看或者使用Extensions-BApp Store安装JSON Beautifier等插件。处理WebSocketBurp Suite可以拦截和查看WebSocket流量但需要在Proxy-Options-Intercept WebSockets Messages中启用。上游代理如果你公司网络需要代理才能访问外网需要在User options-Connections-Upstream Proxy Servers中配置否则模拟器内的App可能无法访问互联网。6.3 模拟器性能与快照管理逍遥模拟器支持创建“快照”Snapshot。强烈建议你在完成系统证书安装、配置好一个干净的抓包环境后创建一个快照并命名为“Base with Burp System Cert”。这样做的好处一键还原以后每次测试新App都可以从这个干净的快照启动避免测试不同App时环境相互污染。节省时间无需重复进行繁琐的系统证书安装步骤。风险隔离如果某个测试把系统搞乱了直接恢复快照即可。7. 安全测试中的伦理与法律边界最后也是最重要的一部分我们必须谈谈责任。拥有抓包能力意味着你能窥见应用网络通信的内幕。仅用于授权测试绝对不要对你没有书面授权如漏洞众测项目、公司内部应用、自己开发的应用的App进行抓包和渗透测试。这是违法行为。尊重用户隐私在测试过程中你可能会看到用户的敏感数据即使是测试数据。这些数据绝不能泄露或用于任何其他目的。遵守平台政策Google Play和其他应用商店对于逆向工程、修改应用行为有严格规定。你的测试活动应在完全可控的内网或离线环境进行。证书安全Burp Suite生成的CA证书是你的“万能钥匙”。请妥善保管cacert.der文件不要随意分享。测试结束后从模拟器中移除该证书删除/system/etc/security/cacerts/下的对应文件并重启。这套“逍遥模拟器Burp Suite系统级证书”的方案是我在移动端安全评估中最常用的环境搭建方法。它平衡了难度和效果能解决90%以上的高版本Android App HTTPS抓包问题。剩下的10%则需要结合逆向工程、动态插桩如Frida等技术去解决证书绑定等更复杂的防护。希望这份超详细的指南能帮你扫清障碍把精力真正聚焦在安全测试和分析本身上。
1. 项目概述为什么高版本Android抓包成了“老大难”如果你做过移动端安全测试或者逆向分析肯定遇到过这个头疼的问题在Android 7.0API 24之后系统对HTTPS流量的安全策略收紧了。简单来说就是你没法像以前那样随便在手机上装个Burp Suite或者Charles的CA证书就能愉快地抓取所有App的HTTPS包了。系统默认不再信任用户安装的证书导致很多App特别是那些做了证书绑定SSL Pinning或者严格遵循系统安全策略的App直接“免疫”了你的抓包工具流量该走加密通道还是走加密通道你这边看到的只是一片“Connection Reset”或者“Certificate Pinning Failure”。这个问题的核心在于Android系统的网络安全配置Network Security Configuration。从Android 7开始App可以并且越来越多的App选择在其配置中声明只信任系统预置的CA证书而忽略用户凭据存储区里的证书。这就把我们这些安全研究员、开发测试人员常用的“用户证书”这条路给堵死了。所以要想在高版本Android上实现全局HTTPS抓包思路就必须从“让App信任我的证书”转变为“让系统把我的证书当成系统证书”。今天要聊的“逍遥模拟器Burp Suite”组合就是解决这个难题的一个非常接地气、实操性极强的方案。逍遥模拟器作为一个基于Android 7.1/9.0等内核的桌面端模拟器它给了我们一个绝佳的环境一个我们可以完全控制的“手机系统”。我们不再需要去折腾真机的Root、刷Magisk模块或者去修改App的源码和签名。在模拟器里我们可以直接以系统管理员的身份将Burp Suite的CA证书安装到系统的受信任凭据存储区实现真正的“系统级”信任。这个方案稳定、可逆、对测试目标App无侵入是进行安全评估、协议分析、逆向调试的利器。2. 环境准备与工具选型背后的逻辑工欲善其事必先利其器。选择逍遥模拟器和Burp Suite这个组合不是随便拍脑袋决定的背后有很强的场景适配性和实操便利性考量。2.1 为什么是逍遥模拟器市面上Android模拟器很多比如蓝叠、夜神、雷电等。选择逍遥模拟器主要基于以下几点实战考量内核版本可控且较新逍遥模拟器稳定版通常提供Android 7.1和9.0等镜像这正好覆盖了我们所需的高版本Android环境。太老的版本如4.4没有证书信任问题但很多新App已不兼容太新的版本如12、13在模拟器上可能稳定性欠佳且系统分区挂载方式可能有变。7.1和9.0是一个在“问题存在”和“方案成熟”之间的甜点区。Root权限获取简单且原生逍遥模拟器在设置中直接提供了“Root开关”。打开后adb shell默认就是root用户。这省去了我们刷机、破解的麻烦是进行系统级操作如写入/system分区的前提。其他模拟器可能也需要Root但逍遥的这一步最为直接。系统分区可写这是最关键的一点。高版本Android即使Root了/system分区默认也是只读ro的。我们需要将其重新挂载为可写rw才能放入证书文件。逍遥模拟器的系统镜像对此支持良好通过标准的mount命令即可完成过程稳定可预测。网络桥接模式支持逍遥模拟器的网络设置允许选择“桥接模式”让模拟器内的Android系统像一台真实设备一样从你的路由器获取一个同网段的IP。这样你的物理机和模拟器就在同一个局域网内方便将Burp Suite设置为代理避免了NAT模式可能出现的代理设置复杂问题。注意请务必从逍遥模拟器官方网站下载安装程序。第三方下载站的文件可能被篡改存在安全风险。2.2 为什么是Burp Suite抓包工具也有Fiddler、Charles等优秀产品。Burp Suite成为安全测试领域的“瑞士军刀”在此场景下优势明显拦截与修改能力强大Burp Proxy的拦截Intercept功能是动态测试的核心。我们可以暂停任意请求和响应并直接修改其参数、头部、体内容这对于测试漏洞如越权、注入至关重要。生态与扩展性拥有丰富的插件Extender生态比如用于自动处理证书绑定的SSL Kill Switch等插件虽然我们本次用系统级证书方案可以绕过很多绑定但Burp的扩展能力为后续更复杂的测试提供了可能。项目与协作功能Burp的Project文件可以保存整个会话状态包括代理历史、目标站点地图、插件配置等方便回溯和团队协作。社区与资料丰富遇到任何问题几乎都能找到相关的社区讨论和解决方案学习成本相对较低。对于本指南使用Burp Suite Community免费版即可完成所有抓包操作。专业版Professional的主动扫描Active Scan等功能并非本场景必需。你需要准备的工具清单逍遥模拟器最新稳定版安装时建议选择Android 9.0镜像如果7.1镜像更稳定也可选7.1。Burp Suite从PortSwigger官网下载Community或Professional版。adbAndroid Debug Bridge工具通常包含在Android SDK Platform-Tools中。逍遥模拟器安装后其安装目录下如MEmu文件夹一般也自带adb工具可以直接使用。3. 核心原理系统证书与用户证书的天壤之别在深入实操前花几分钟理解原理能让你在遇到问题时知道从何下手而不是机械地跟着步骤走。Android系统管理CA证书的存储位置主要有两个系统CA证书存储路径为/system/etc/security/cacerts/。这里的证书拥有最高的信任级别被所有App无论其networkSecurityConfig如何配置默认信任。证书文件需要特定的格式和命名规则后续会详述。用户CA证书存储在Android设置中“安全”或“加密与凭据”里“安装证书”的位置。路径通常对应/data/misc/user/0/cacerts-added/因版本而异。这里的证书只有在App的网络安全配置明确声明trust-anchors包含user源时才会被信任。Android 7.0之后Google鼓励开发者使用Network Security Configuration文件。一个典型的、限制较严的配置如下network-security-config base-config cleartextTrafficPermittedfalse trust-anchors certificates srcsystem / /trust-anchors /base-config /network-security-config这个配置意味着App只信任系统CA存储srcsystem中的证书而明确不信任用户安装的证书。这就是为什么你装了Burp证书到用户存储区却抓不到某些App包的根本原因。我们的核心战术利用模拟器的Root权限将Burp Suite生成的CA证书直接“塞进”系统的保险箱——/system/etc/security/cacerts/目录。一旦证书在此落户它就拥有了“免检通行证”所有App都会将其视为可信任的根证书颁发机构HTTPS中间人攻击MITM的通道就此打通。这个方案的优势在于它是在系统层面解决问题不依赖于修改单个App因此是“全局生效”的。无论你测试哪个App只要它走系统网络栈就能被成功抓包。4. 分步实操从零搭建抓包环境下面我们进入最核心的实操环节。请严格按照步骤操作我会在关键点说明“为什么这么做”以及可能遇到的坑。4.1 第一步配置Burp Suite代理与导出证书启动Burp Suite并配置代理监听 打开Burp在Proxy-Options选项卡中找到Proxy Listeners。确保有一个监听器在运行默认127.0.0.1:8080。检查其Running状态为true。最好将Bind to address从Loopback only改为All interfaces或者直接指定你物理机的局域网IP地址。这是因为后续模拟器需要连接到这个代理如果只绑定回环地址127.0.0.1模拟器是无法访问的。导出Burp的CA证书 这是最关键的文件。打开浏览器访问http://burpsuite或http://你的物理机IP:8080。点击CA Certificate按钮下载证书文件。务必选择Der格式保存为cacert.der。为什么是DER格式而不是PEM因为Android系统证书存储要求证书是DER格式并且以特定的哈希值命名。PEM格式是Base64编码的文本系统不认。实操心得有时通过上述HTTP页面下载的证书在后续步骤中可能会遇到“证书无效”的提示。一个更可靠的方法是在Burp Suite的Proxy-Options-Proxy Listeners- 选中你的监听器 -Import / export CA certificate中直接导出证书。选择Export-Certificate in DER format同样保存为cacert.der。4.2 第二步设置逍遥模拟器与网络安装并启动逍遥模拟器创建一个新的实例建议选择Android 9.0镜像。启动后进入模拟器设置。开启Root权限在设置中找到关于平板电脑或类似选项连续点击版本号开启开发者选项。然后在开发者选项中找到并开启Root授权开关。配置网络代理临时步骤在设置-WLAN中长按已连接的Wi-Fi网络通常是WiredSSID或Ethernet选择修改网络。展开高级选项将代理设置为手动。代理服务器主机名填写你物理机的局域网IP地址在Windows上可通过ipconfig查看通常是192.168.x.x在macOS/Linux上用ifconfig或ip addr查看。代理服务器端口填写Burp监听的端口默认为8080。保存。这个步骤的目的是为了让模拟器能访问之前http://burpsuite的地址以下载/安装证书以及后续初始的抓包验证。在完成系统证书安装后这个手动代理可以移除因为Burp的全局流量拦截不依赖于此。4.3 第三步在模拟器内安装用户证书过渡步骤在模拟器的浏览器中访问http://你的物理机IP:8080点击CA Certificate下载证书文件。下载完成后系统会提示你安装证书。给证书起个名字如BurpRoot选择用途为VPN和应用或WLAN根据系统提示。安装需要你输入锁屏密码或确认。安装成功后你可以在设置-安全-加密与凭据-信任的凭据-用户标签页下看到刚刚安装的BurpRoot证书。此时你可以尝试抓取一些系统浏览器或未做严格证书校验的App的HTTPS流量应该已经可以成功。但对于目标App很可能还是失败。这一步主要是为了验证代理连通性并获取证书文件到设备本地方便我们下一步将其转化为系统证书。4.4 第四步获取证书文件并推送到模拟器现在我们需要将证书文件放到一个方便操作的位置。有两个途径途径A推荐更直接使用adb命令将我们在物理机上导出的cacert.der推送到模拟器。# 打开命令行切换到adb所在目录逍遥模拟器安装目录下的adb工具 adb connect 127.0.0.1:21503 # 逍遥模拟器的默认adb连接地址和端口 adb push C:\path\to\your\cacert.der /data/local/tmp/cacert.der21503是逍遥模拟器默认的第一个实例的adb端口。第二个实例通常是21523以此类推。/data/local/tmp/是一个对Shell可读写的临时目录。途径B如果模拟器内浏览器下载的证书找不到或者格式不对可以从用户证书存储中提取。但这需要Root权限且步骤稍复杂这里不展开。推荐直接使用途径A。4.5 第五步关键操作——将用户证书安装为系统证书这是整个流程的技术核心。我们需要将DER格式的证书文件重命名为特定的名称并复制到系统证书目录。adb shell连接并获取Root权限adb shell su执行su后模拟器界面可能会弹出Root授权请求点击“允许”。命令行提示符应该会从$变成#表示已获得超级用户权限。将/system分区重新挂载为可写 默认情况下/system是只读的。mount -o rw,remount /system如果上述命令报错可以尝试指定块设备mount -o rw,remount /dev/block/sda6 /system # 具体设备名可能不同sda6是常见情况可以使用mount | grep system来查看/system当前挂载在哪个设备上。重要警告对/system分区的任何修改都有风险。操作时务必小心不要删除或修改其他无关文件。建议在操作前先对/system/etc/security/cacerts/目录进行备份cp -r /system/etc/security/cacerts/ /sdcard/cacerts_backup/。转换证书格式并计算哈希名 系统证书目录/system/etc/security/cacerts/下的证书文件必须以证书主题的哈希值加.0作为文件名。我们需要计算cacert.der的哈希值。cd /data/local/tmp openssl x509 -inform DER -in cacert.der -subject_hash_old -noout这条命令会输出一个8位的十六进制字符串例如9a5ba575。这就是证书的文件名不含.0。为什么是_old哈希Android早期使用-subject_hash_oldOpenSSL 1.0的算法为了兼容性系统证书存储通常沿用此命名。使用-subject_hashOpenSSL 1.1算法得到的哈希值不同系统可能不识别。将证书复制到系统证书目录cp cacert.der /system/etc/security/cacerts/hash.0请将hash替换为上一步得到的哈希值例如cp cacert.der /system/etc/security/cacerts/9a5ba575.0设置正确的文件权限和所有者 系统证书目录下的文件需要有正确的权限才能被系统读取。chmod 644 /system/etc/security/cacerts/hash.0 chown root:root /system/etc/security/cacerts/hash.0644权限表示所有者可读写组用户和其他用户只读。root:root的所有者和组是系统标准配置。恢复/system分区的只读属性可选但建议mount -o ro,remount /system或者直接重启模拟器系统会自动以只读方式重新挂载。重启是一个很好的验证步骤。4.6 第六步验证与测试重启逍遥模拟器。这是必须的因为系统只会在启动时加载cacerts目录下的证书。移除Wi-Fi手动代理回到模拟器的Wi-Fi设置将代理改回无或无代理。因为系统级证书生效后所有流量都会信任Burp的CA无需再在应用层设置代理指向Burp。我们只需要在Burp Suite中设置好上游代理规则即可。实际上更常见的做法是让模拟器网络保持原始状态不设代理然后在你的物理机或路由器上设置透明代理或流量重定向但这涉及更复杂的网络配置。对于大多数测试我们采用另一种更简单的方法配置模拟器的全局HTTP代理但这不在Wi-Fi设置里而是通过adb命令或某些系统设置App实现。一个更通用的方法是确保Burp Suite监听在所有网卡All interfaces上。在模拟器中安装一个能设置全局代理的App此类App通常需要Root权限将全局代理设置为你的物理机IP:8080。或者对于测试特定App如果该App支持配置代理就在其设置中配置。最简单直接的验证方法打开模拟器的浏览器访问一个HTTPS网站如https://example.com。如果Burp Suite的Proxy-HTTP history中能捕获到该请求且没有证书错误说明系统证书安装成功。你会发现即使没有在Wi-Fi里设置手动代理只要Burp开着且在监听流量也可能被捕获取决于模拟器的网络桥接模式但为了稳定抓取所有App流量建议还是使用能设置全局代理的方法。测试目标App打开你想要抓包分析的App进行正常的操作。此时Burp Suite中应该能够看到清晰的HTTPS请求和响应而不再是之前的一堆TLS handshake failure。5. 疑难杂症与深度排查指南即使按照步骤操作你也可能会遇到一些问题。这里汇总了常见的坑和解决方案。5.1 证书安装后部分App仍抓不到包这是最可能遇到的情况。原因和解决方案如下现象可能原因排查与解决方案目标App的流量完全不见1. App使用了纯TCP/UDP自定义协议不走HTTP/HTTPS。2. App使用了WebSocket或其他长连接在Burp默认配置下可能不直观。3.App启用了证书绑定SSL Pinning。1. 使用Wireshark等底层抓包工具确认是否有流量产生。2. 在Burp的Proxy-Options-Intercept Client Requests中检查是否有过滤规则误删了请求。3.对于证书绑定系统级证书方案可以绕过基于信任锚Trust Anchor的绑定即App只信任系统证书库。但如果App使用了公钥绑定Public Key Pinning或将证书硬编码在代码里则系统级证书也无效。此时需要反编译App修改其网络库代码或使用Frida等Hook框架来绕过。这超出了本指南范围但你可以搜索“SSL Pinning Bypass Frida”来寻找方案。抓到的包响应是乱码或证书错误1. Burp Suite未正确解密HTTPS流量。2. App使用了HTTP/2或HTTP/3Burp的显示可能需调整。3. 网络不稳定导致连接重置。1. 确认系统证书确已安装且哈希命名正确。重启模拟器。2. 在Burp的Proxy-Options-TLS设置中尝试调整TLS协议版本和密码套件以匹配服务器要求。3. 在Burp的User options-TLS中确保Server SSL Certificates里没有旧的无用证书。只有浏览器流量能抓App不行1. 该App可能使用了自己的网络栈如Cronet、OkHttp配置了自定义TrustManager未使用系统默认的SSLContext。2. 模拟器的全局代理未生效App直连了网络。1. 这是最难处理的情况。需要分析App使用的网络库。对于OkHttp如果它配置了自定义的CertificatePinner或TrustManager则系统证书无效。同样需要逆向或Hook。2. 尝试使用更强大的全局代理工具如ProxyDroid需Root确保所有TCP流量都经过Burp。5.2 adb命令常见错误error: device offline模拟器的adb连接不稳定。尝试adb kill-server然后adb start-server再重新连接。remount failed/system分区重挂载失败。确保已执行su获得root权限。尝试使用adb remount命令但此命令在某些系统上可能不可用。最稳妥的方法是进入adb shell后使用mount命令查看/system的具体挂载点然后用mount -o rw,remount /dev/block/[具体设备] /system。openssl command not found模拟器系统镜像可能精简了openssl工具。有两种解决方式从其他完整镜像或通过apt如果支持安装openssl。更简单的方法在你的物理机上计算哈希。在物理机命令行确保已安装OpenSSL执行openssl x509 -inform DER -in cacert.der -subject_hash_old -noout得到哈希值后在adb shell中执行复制和重命名命令时直接使用这个哈希值。5.3 证书相关错误INSTALL_PARSE_FAILED_NO_CERTIFICATES在模拟器内安装证书时出现。这通常是因为下载的证书文件损坏或格式不正确。请务必通过http://burpsuite页面或Burp内建功能导出DER格式证书。系统证书安装后浏览器访问HTTPS站点仍报不安全首先确认证书文件是否已正确放置在/system/etc/security/cacerts/目录权限是否为644所有者是否为root:root。然后清除浏览器数据特别是SSL状态缓存或者使用一个新的浏览器会话进行测试。Android系统会缓存证书信息重启设备是最彻底的清除方式。5.4 网络与代理问题模拟器无法连接物理机Burp代理检查物理机防火墙是否放行了8080端口入站规则。检查Burp Suite的监听器是否绑定在All interfaces或正确的IP上。在模拟器浏览器中直接访问http://物理机IP:8080看是否能打开Burp的欢迎页面。如果不能说明网络不通。尝试将逍遥模拟器的网络模式从NAT改为桥接让模拟器获得一个与物理机同网段的IP这样网络互通性更好。6. 进阶技巧与优化配置掌握了基础方法后这些技巧能让你的抓包工作更高效、更强大。6.1 使用Magisk模块可选进阶如果你熟悉Magisk在已Root的环境下有一个更优雅、无需修改/system分量的方案使用MagiskTrustUserCerts模块。这个模块的作用是将用户安装的证书/data/misc/user/0/cacerts-added/在每次系统启动时自动符号链接symlink到系统证书目录。这样你只需要在设置里安装一次证书重启后它就自动变成系统证书了。优点无需手动操作/system分区避免误操作风险证书管理更方便安装/卸载都在系统设置里完成。缺点需要安装Magisk步骤稍多适合喜欢折腾、需要在多种环境下快速切换证书的用户。在逍遥模拟器上安装Magisk的步骤较为复杂需要刷入特定的补丁镜像此处不展开。但对于真机测试这是一个非常推荐的方案。6.2 配置Burp Suite提升抓包体验过滤无关流量在Proxy-Options-Intercept Client Requests中可以添加过滤规则例如只拦截目标域名的流量*.target.com避免被海量的其他请求如广告、统计SDK干扰。解码和美化对于JSON、XML等格式的响应在Proxy-HTTP history中右键响应内容选择Send to Repeater然后在Repeater的Pretty、Hex等标签页下查看或者使用Extensions-BApp Store安装JSON Beautifier等插件。处理WebSocketBurp Suite可以拦截和查看WebSocket流量但需要在Proxy-Options-Intercept WebSockets Messages中启用。上游代理如果你公司网络需要代理才能访问外网需要在User options-Connections-Upstream Proxy Servers中配置否则模拟器内的App可能无法访问互联网。6.3 模拟器性能与快照管理逍遥模拟器支持创建“快照”Snapshot。强烈建议你在完成系统证书安装、配置好一个干净的抓包环境后创建一个快照并命名为“Base with Burp System Cert”。这样做的好处一键还原以后每次测试新App都可以从这个干净的快照启动避免测试不同App时环境相互污染。节省时间无需重复进行繁琐的系统证书安装步骤。风险隔离如果某个测试把系统搞乱了直接恢复快照即可。7. 安全测试中的伦理与法律边界最后也是最重要的一部分我们必须谈谈责任。拥有抓包能力意味着你能窥见应用网络通信的内幕。仅用于授权测试绝对不要对你没有书面授权如漏洞众测项目、公司内部应用、自己开发的应用的App进行抓包和渗透测试。这是违法行为。尊重用户隐私在测试过程中你可能会看到用户的敏感数据即使是测试数据。这些数据绝不能泄露或用于任何其他目的。遵守平台政策Google Play和其他应用商店对于逆向工程、修改应用行为有严格规定。你的测试活动应在完全可控的内网或离线环境进行。证书安全Burp Suite生成的CA证书是你的“万能钥匙”。请妥善保管cacert.der文件不要随意分享。测试结束后从模拟器中移除该证书删除/system/etc/security/cacerts/下的对应文件并重启。这套“逍遥模拟器Burp Suite系统级证书”的方案是我在移动端安全评估中最常用的环境搭建方法。它平衡了难度和效果能解决90%以上的高版本Android App HTTPS抓包问题。剩下的10%则需要结合逆向工程、动态插桩如Frida等技术去解决证书绑定等更复杂的防护。希望这份超详细的指南能帮你扫清障碍把精力真正聚焦在安全测试和分析本身上。
