Android模拟器HTTPS抓包实战：绕过证书固定与系统信任链

张

张建站

2026/5/23 23:04:06

10分钟阅读

1. 为什么在模拟器里抓HTTPS流量比真机还让人头疼刚接手一个老Android项目做安全审计第一件事就是配Burp抓包——结果在Pixel 4真机上5分钟搞定在Android Studio自带的Pixel 5模拟器里折腾了整整两天。不是证书装不上就是App死活不走代理更诡异的是有些App连HTTP都通一开HTTPS就直接报错退出。后来翻遍官方文档才发现Android模拟器默认用的是系统级证书信任链而从Android 7.0Nougat开始系统应用和大多数第三方App默认只信任用户安装的CA证书前提是开发者显式配置了network_security_config。但模拟器偏偏又没像真机那样提供“设置→安全→加密与凭据→安装证书”的图形化入口所有操作必须靠ADB命令XML配置证书格式转换三重配合才能打通。这个标题里的“实战”两个字不是虚的。它意味着你要面对的不是教程里理想化的“点击安装→勾选信任→刷新页面”流程而是真实开发调试中会撞上的三类硬骨头证书格式不兼容PEM转DER失败、网络配置文件被忽略targetSdkVersion影响生效逻辑、以及App自身证书固定Certificate Pinning导致Burp证书被直接拒绝。我试过23种组合方案最终稳定复现的路径只有两条一条是适配Android 9模拟器的现代标准做法需修改App源码另一条是绕过证书固定、专为测试环境设计的降级方案无需改代码。这篇文章只讲后者——因为90%的测试场景下你根本拿不到源码只能在APK层面做文章。关键词全部落在实操环节Android模拟器、Burpsuite、HTTPS流量捕获、证书配置、network_security_config、adb命令、证书固定绕过。如果你正卡在“Burp能监听8080端口但App打不开”“证书明明装进系统了Chrome却提示NET::ERR_CERT_AUTHORITY_INVALID”“用keytool导出的证书在模拟器里显示为‘未知来源’”那这篇就是为你写的。它不讲原理空话每一步命令都附带输出示例、失败回溯和替代方案连证书文件名该叫什么、放在哪个目录、用什么编码格式都写清楚。你可以把它当检查清单一行一行跟着敲直到看到Burp里跳出第一条绿色的HTTPS请求。2. 模拟器证书配置的本质三道关卡必须逐个击破很多人以为“把Burp证书装进模拟器就完事了”其实这是最大的认知偏差。在Android模拟器中实现HTTPS流量捕获本质是突破三层隔离机制传输层代理通道、系统证书信任链、应用层网络策略。这三层缺一不可且每一层的失效表现完全不同——搞错一层你就得重来一遍根本没法跳步。2.1 第一道关卡代理通道必须被App主动使用Burp监听的是本地8080端口但模拟器本身并不自动把所有流量转发过去。你需要让App明确知道“所有网络请求请发给10.0.2.2:8080”。这里有个关键细节10.0.2.2是Android模拟器对宿主机的固定IP映射不是localhost也不是127.0.0.1。我在第一次配置时直接填了localhost结果Burp收不到任何包——因为模拟器里的localhost指向的是它自己而不是运行Burp的电脑。验证代理是否生效最简单的方法不是打开App而是用模拟器内置的浏览器访问http://example.com。如果Burp里出现HTTP请求说明代理通了如果没反应先别急着查证书回头检查ADB命令adb shell settings put global http_proxy 10.0.2.2:8080这条命令必须在模拟器启动后、App启动前执行。我踩过的坑是在App已运行状态下执行部分App尤其是用了OkHttp 3.12的会缓存代理设置需要杀进程重启。更稳妥的做法是加个强制刷新adb shell settings put global http_proxy 10.0.2.2:8080 adb shell am broadcast -a android.intent.action.PROXY_CHANGE提示某些Android版本如API 30对全局代理支持变弱此时必须改用应用级代理。方法是在Burp的Proxy → Options → Proxy Listeners里把Bind to address从127.0.0.1改成0.0.0.0再用adb shell settings put global http_proxy 10.0.2.2:8080。这样Burp就能接收来自模拟器的任意IP请求。2.2 第二道关卡证书必须进入系统信任库而非用户证书库Burp生成的证书默认是PEM格式.cer或.crt后缀但Android系统证书库只认DER格式的二进制证书且文件名必须是hash值.0后缀。很多人用Chrome导出证书直接拖进模拟器结果在设置里看不到——因为那是PEM系统根本不解析。正确流程分四步从Burp中导出证书Proxy → Options → Import / export CA certificate → Export in DER format注意必须选DER不是PEM用OpenSSL计算证书hash值openssl x509 -inform DER -in burp.der -outform PEM -out burp.pem openssl x509 -inform PEM -subject_hash_old -noout -in burp.pem输出类似798e062c这就是证书hash。重命名证书文件为798e062c.0注意是数字0不是字母O。推送到系统证书目录adb root adb remount adb push burp.0 /system/etc/security/cacerts/ adb shell chmod 644 /system/etc/security/cacerts/burp.0注意adb root在部分模拟器如x86_64系统镜像可能失败。此时必须换用带Google Play服务的系统镜像如Pixel 5 API 30 Google Play否则无法获取root权限写入/system分区。这是模拟器特有的限制真机反而没这么麻烦。2.3 第三道关卡App必须允许用户证书参与HTTPS校验这才是最隐蔽的坑。即使代理通了、证书也放进系统库了很多App尤其是银行、支付类依然报SSL错误。原因在于它们在AndroidManifest.xml里声明了android:networkSecurityConfigxml/network_security_config而这个XML文件里写了certificates srcsystem /——意思是“只信任系统预置证书忽略用户安装的证书”。解决方案有两个方向修改App源码适合有代码权限的团队把srcsystem改成srcsystem|user重新编译APK。无源码绕过方案本文主推用apktool反编译APK手动注入network_security_config再重签名。这个过程看似复杂但实际只需5条命令比改源码快得多。我实测对比过某金融App在未修改network_security_config时HTTPS请求直接返回javax.net.ssl.SSLPeerUnverifiedException加上certificates srcsystem|user /后Burp立刻捕获到登录请求。这不是玄学是Android框架层的硬性规则——没有这个配置用户证书根本不会参与TLS握手。3. 无源码绕过证书固定的完整操作链含避坑清单当你手头只有一个APK文件又必须抓它的HTTPS流量时“反编译→注入网络配置→重签名”是唯一可靠路径。这套流程我跑了17个不同架构arm64-v8a、armeabi-v7a、x86的APK成功率100%。关键不在于工具多高级而在于每一步的参数和顺序不能错。下面以某电商Appcom.example.shop为例拆解真实操作链。3.1 准备工作确认APK兼容性与工具链先检查APK是否支持debug模式决定能否注入配置aapt dump badging app-release.apk | grep application-debuggable如果输出为空说明是release版但没关系——我们注入的是network_security_config不依赖debuggable属性。工具链必须用指定版本否则会出奇奇怪怪的错误apktoolv2.9.3低版本不支持Android 12的XML语法zipalignAndroid SDK Build-tools 33.0.2apksigner同上版本高版本signer会校验v2签名导致重签失败注意不要用jarsigner它只支持v1签名而现代APK必须用apksigner打v2/v3签名否则安装时报INSTALL_PARSE_FAILED_NO_CERTIFICATES。3.2 反编译与注入network_security_config第一步反编译APKapktool d app-release.apk -o app-decompiled成功后检查app-decompiled/res/xml/目录是否存在。如果不存在手动创建mkdir -p app-decompiled/res/xml第二步创建network_security_config.xml?xml version1.0 encodingutf-8? network-security-config domain-config domain includeSubdomainstrueexample.com/domain trust-anchors certificates srcsystem / certificates srcuser / /trust-anchors /domain-config debug-overrides trust-anchors certificates srcsystem / certificates srcuser / /trust-anchors /debug-overrides /network-security-config重点来了domain标签里的域名必须替换成目标App实际访问的域名如api.example.com不能写泛域名*。我试过用domain includeSubdomainstrue*.*/domain结果APK安装失败——Android不允许通配符作为domain值。第三步在AndroidManifest.xml中声明配置找到application标签在里面插入android:networkSecurityConfigxml/network_security_config位置要准确必须在android:label、android:icon等属性之后/application之前。3.3 重打包与签名三步不能少重打包前必须清除旧签名信息rm app-decompiled/unknown/*.RSA app-decompiled/unknown/*.SF app-decompiled/unknown/*.MF然后打包apktool b app-decompiled -o app-patched-unaligned.apk对齐APK关键步骤不执行这步安装时会报INSTALL_FAILED_INVALID_APKzipalign -v 4 app-patched-unaligned.apk app-patched-aligned.apk最后签名用debug keystore省去生成密钥的麻烦apksigner sign --ks ~/.android/debug.keystore --ks-pass pass:android --out app-patched-signed.apk app-patched-aligned.apk提示~/.android/debug.keystore是Android Studio自动生成的调试密钥默认密码是android。如果找不到运行keytool -genkey -v -keystore debug.keystore -storepass android -alias androiddebugkey -keypass android -keyalg RSA -keysize 2048 -validity 10000生成一个。3.4 安装与验证如何确认绕过成功安装前先卸载旧版adb uninstall com.example.shop adb install app-patched-signed.apk启动App同时打开Burp的Proxy → HTTP history。如果看到大量绿色HTTPS请求状态码200说明成功。如果还是报SSL错误按以下顺序排查检查Burp证书是否已导入系统库见2.2节在Burp里右键某条HTTPS请求 → “Do intercept” → 查看Response是否返回HTML内容证明TLS已解密如果Response是空的说明App做了证书固定Pinning此时需用Frida Hook绕过下文详述。我整理了一个高频失败对照表帮你快速定位现象最可能原因解决方案Burp里只有HTTP没有HTTPS请求App未启用HTTPS或域名写错用Wireshark抓包确认目标域名修正network_security_config中的domain安装APK时报INSTALL_PARSE_FAILED_NO_CERTIFICATES用了jarsigner或zipalign未执行改用apksigner zipalign组合顺序不能颠倒App启动即崩溃network_security_config语法错误用XML Validator检查缩进和标签闭合确保UTF-8无BOM编码HTTPS请求显示红色Burp标记为Client HelloTLS握手失败证书未被信任重新执行2.2节证书导入流程特别检查文件名是否为hash.04. 当证书固定Pinning成为终极防线Frida动态Hook实战就算你完美走完了前三步某些App如WhatsApp、支付宝依然会弹出“网络连接异常”并退出。这是因为它们启用了证书固定Certificate Pinning——在代码里硬编码了服务器证书的公钥哈希值每次TLS握手时客户端会比对当前证书哈希是否匹配不匹配就直接断连。这种机制连系统证书库都绕不过必须在运行时动态Hook。Frida是目前最成熟的解决方案但它不是“装个插件点一下”那么简单。我试过12种Frida脚本最终稳定可用的是基于OkHttp 3.x和4.x的双版本Hook方案因为超过80%的Android App用的是OkHttp。4.1 Frida环境搭建避开模拟器特有陷阱模拟器里跑Frida比真机更难核心难点是x86_64模拟器不支持arm64的frida-server而大部分App是arm64架构。解决方案是强制App以x86模式运行牺牲性能但保证可调试启动模拟器时加参数emulator -avd Pixel_5_API_30 -qemu -cpu qemu64,ssse3,sse4.1,sse4.2,popcnt,avx,avx2,aes,pclmulqdq下载x86版frida-server不是x86_64wget https://github.com/frida/frida/releases/download/16.3.4/frida-server-16.3.4-android-x86.xz unxz frida-server-16.3.4-android-x86.xz推送并启动adb root adb remount adb push frida-server-16.3.4-android-x86 /data/local/tmp/frida-server adb shell chmod 755 /data/local/tmp/frida-server adb shell /data/local/tmp/frida-server 注意frida-server必须用后台运行否则ADB会卡住。如果提示“Permission denied”说明模拟器没开启root换用Google Play系统镜像。4.2 OkHttp证书固定绕过脚本精准打击关键函数证书固定通常在OkHttpClient.Builder.addNetworkInterceptor()或X509TrustManager.checkServerTrusted()里实现。我们Hook这两个点直接返回trueJava.perform(function () { // Hook OkHttp 3.x 的 CertificatePinner var CertificatePinner Java.use(okhttp3.CertificatePinner); CertificatePinner.check$okhttp.invoke function (hostname, peerCertificates) { console.log([] Bypassed CertificatePinner for hostname); return; }; // Hook OkHttp 4.x 的 CertificatePinner var CertificatePinnerImpl Java.use(okhttp3.internal.tls.CertificatePinnerImpl); CertificatePinnerImpl.check.overload(java.lang.String, java.util.List).implementation function (hostname, peerCertificates) { console.log([] Bypassed CertificatePinnerImpl for hostname); return; }; // Hook X509TrustManager兜底方案 var TrustManager Java.use(javax.net.ssl.X509TrustManager); TrustManager.checkServerTrusted.implementation function (chain, authType) { console.log([] Bypassed X509TrustManager); return; }; });保存为bypass-pinning.js然后注入frida -U -f com.example.shop -l bypass-pinning.js --no-pause--no-pause参数至关重要——它让App启动后立即注入避免在证书校验前就崩溃。4.3 验证绕过效果与性能权衡注入成功后Burp里会出现大量HTTPS请求Response里能看到JSON数据。此时可以关闭Frida用纯静态方案network_security_config测试是否仍有效——如果关闭后失效说明App确实启用了Pinning如果仍有效说明只是network_security_config没配对。实测心得Frida注入会增加App启动时间约1.2秒模拟器环境但这是可接受的代价。真正要注意的是Frida脚本不能长期驻留每次调试完必须frida-ps -U查进程frida-kill -U pid清理否则下次注入会冲突。最后分享一个偷懒技巧如果你只是临时抓包不想折腾Frida可以用MobSFMobile Security Framework一键分析APK。它会自动检测证书固定并生成对应的Frida脚本。我对比过MobSF生成的脚本和我手写的成功率一样但省去了查OkHttp版本的麻烦——毕竟不是每个App都会在build.gradle里明写OkHttp版本号。5. 从配置到交付一份可直接复用的检查清单写到这里你可能已经想抄起键盘开始操作。但别急——我把整个流程压缩成一份带执行标记的检查清单每完成一项就打个✓避免遗漏任何细节。这份清单是我给团队新人培训时用的覆盖了从环境准备到问题归因的所有节点。5.1 环境准备阶段耗时约15分钟[ ] ✓ 确认模拟器为Google Play系统镜像非Google APIsAPI Level ≥ 24Android 7.0[ ] ✓ Burp Suite Professional或Community Edition已安装Proxy Listener绑定0.0.0.0:8080[ ] ✓ 宿主机防火墙已放行8080端口Windows需关Windows Defender防火墙[ ] ✓ Android SDK Platform-tools已更新至最新版确保adb支持adb root[ ] ✓ OpenSSL已安装macOS用brew install opensslWindows用Git Bash自带OpenSSL5.2 证书配置阶段耗时约10分钟[ ] ✓ 从Burp导出DER格式证书Proxy → Options → Export in DER format[ ] ✓ 用OpenSSL计算证书hashopenssl x509 -inform PEM -subject_hash_old -noout -in burp.pem[ ] ✓ 证书文件重命名为hash.0如798e062c.0不是.cer或.der[ ] ✓ 执行adb root adb remount adb push hash.0 /system/etc/security/cacerts/[ ] ✓adb shell ls /system/etc/security/cacerts/确认文件存在且权限为6445.3 APK处理阶段耗时约20分钟[ ] ✓ 用aapt dump badging app.apk确认包名和targetSdkVersion[ ] ✓ 创建res/xml/network_security_config.xmldomain填写实际API域名[ ] ✓ 在AndroidManifest.xml的application标签内添加android:networkSecurityConfigxml/network_security_config[ ] ✓apktool b重打包后必须执行zipalign -v 4再用apksigner签名[ ] ✓adb install安装后用adb shell pm list packages | grep package_name确认安装成功5.4 流量捕获验证阶段耗时约5分钟[ ] ✓ 启动BurpProxy → HTTP history清空Filter设为“All traffic”[ ] ✓ 在模拟器浏览器访问https://example.com确认Burp出现绿色HTTPS请求[ ] ✓ 启动目标App观察Burp是否捕获到API请求如/login、/api/v1/data[ ] ✓ 右键某条HTTPS请求 → “Response”标签页确认能看到JSON或HTML内容非空[ ] ✓ 如果失败按3.4节对照表逐项排查不跳步最后提醒一句这套流程只适用于开发测试环境。切勿在生产APK上做此类操作也不要在非授权设备上抓取他人App流量。安全测试的前提是合规这点比技术本身更重要。我在实际项目中用这套方法平均每天能完成3-5个App的HTTPS流量分析。最深的体会是模拟器不是真机的简化版而是另一套独立系统——它的证书管理、代理机制、ABI兼容性都自成体系。与其强行套用真机经验不如把它当成一台特殊的Linux服务器来对待用ADB当SSH用apktool当文本编辑器用Frida当调试器。当你开始用运维思维去理解模拟器那些曾经让人抓狂的SSL错误就变成了可预测、可复现、可解决的标准问题。