SSL Pinning之双向认证

概述

本篇只介绍怎么解决ssl pinning， 不讲ssl/tls 原理。
为了解决ssl pinning 服务端验证（又称 双向认证）， 解决步骤如下：

获取证书

我们知道服务端证书绑定在客户端中， 那么直接解压apk就可以获取了

常见 akp 的证书一般放在assets 目录下面， 常见的证书格式： cer、pem、p12、pfx、bks 等
示例：

逆向app 获取证书的KeyStore的 key

通过ssl pinning 原理我们知道服务端证书被绑定在客户端中（apk里）
这里分为两步：第一步获取 证书passwrd代码位置； 第二步通过frida hook获取password

常见java代码模拟双向认证的请求的过程：

// 双向认证证书
KeyStore keyStore = KeyStore.getInstance("PKCS12");
KeyStore trustStore = KeyStore.getInstance("jks");
// keyStore是服务端验证客户端的证书，trustStore是客户端的信任证书
InputStream ksIn = new FileInputStream("E:/Java/jre8/lib/security/re/1.pfx");
InputStream tsIn = new FileInputStream(new File("E:/Java/jre8/lib/security/re/1"));

// 这里是客户端证书加载， 123456为keyStore的password
keyStore.load(ksIn, "123456".toCharArray());

SSLContext sslContext = SSLContexts.custom().loadTrustMaterial(trustStore, new TrustSelfSignedStrategy())
        .loadKeyMaterial(keyStore, "123456".toCharArray()).setSecureRandom(new SecureRandom()).useSSL().build();

ConnectionSocketFactory pSocketFactory = new PlainConnectionSocketFactory();
SSLConnectionSocketFactory sslConnectionSocketFactory = new SSLConnectionSocketFactory(sslContext);

Registry<ConnectionSocketFactory> r = RegistryBuilder.<ConnectionSocketFactory> create()
        .register("http", pSocketFactory).register("https", sslConnectionSocketFactory).build();
PoolingHttpClientConnectionManager secureConnectionManager = new PoolingHttpClientConnectionManager(r);

HttpClientBuilder secureHttpBulder = HttpClients.custom().setConnectionManager(secureConnectionManager);
HttpClient client = secureHttpBulder.build();

HttpGet httpGet = new HttpGet("https://xxx.com");
HttpResponse httpResponse1 = client.execute(httpGet);

通过jadx 反编译 app 获取证书：

• 查找特征：
  • keyStore.load

示例： （ 图二 ）

frida hook

由于不同apk hook代码不同， 这里介绍两个hook点， 不提供hook 代码

• hook 密码解密函数
• hook keyStore 的load 函数

示例：（以图二为例）

// 这里使用hook 点一
function main(){
    Java.perform(function(){
        Java.enumerateClassLoaders({
            onMatch : function(loader){
                try {
                    // loadClass or findClass
                    if (loader.loadClass("o0O0000o.OooO0OO")){
                        Java.classFactory.loader = loader;
                        // something to do;
						var OooO0OO = Java.use("o0O0000o.OooO0OO");
						console.log("success hook it :", OooO0OO);
						OooO0OO["OooO00o"].implementation = function (j) {
							console.log(`OooO0OO.OooO00o is called: j=${j}`);
							let result = this["OooO00o"](j);
							console.log(`OooO0OO.OooO00o result= ${result}`);
							return result;
						};
                    }
                } catch (error) {
                    // pass
                }
            },
            
            onComplete: function () {
                console.log("complete !!! ")
            }
        })
    })
}

setImmediate(main);

结果：

OooO0OO.OooO00o is called: j=-1973552697099
OooO0OO.OooO00o result= MZ4cozY8Qu32UzGe
OooO0OO.OooO00o is called: j=-2046567141131
OooO0OO.OooO00o result= MZ4cozY8Qu32UzGe

证书转换

如果如果证书是bks 的， 还需转换成p12（PKCS12） 或 pem（因为charles 只支持p12 和pem）
转换方式这里介绍两种： 第一种命令行； 第二种使用portecle工具

命令行转换

keytool -importkeystore -srckeystore your_bks_cert.bks -srcstoretype BKS -destkeystore bks.p12 -deststoretype PKCS12

其中，your_bks_cert.bks 是你的 bks格式证书文件，bks.p12 是输出的p12格式证书文件名；之后，按照提示输入bks证书的密码（MZ4cozY8Qu32UzGe）和p12证书的密码（同bks证书）。

portecle 工具使用

网上有很多， 这里提供一个不错的blog 点击前往

charles 配置 p12 格式证书

网上有很多， 这里提供一个不错的blog 点击前往

借鉴：

• 问题解决过程：https://zhuanlan.zhihu.com/p/60392573
• charles 配置证书： https://blog.yii2.cc/mutual-tls-authentication/
• apk 获取证书：https://www.secpulse.com/archives/54027.html
• java 现SSL双向认证：https://blog.csdn.net/HD243608836/article/details/109105469
• bks证书转p12： https://tool.yimenapp.com/info@-bks-zheng-shu-zhuai-p12-159502.html
• 证书password hook点定位：https://xz.aliyun.com/t/12993?time__1311=mqmhqIhiGK0KDsD7GG7DyWrbDteXupuGD&alichlgref=https%3A%2F%2Fwww.google.com%2F
• Portecle工具 Portecle 使用：https://blog.csdn.net/jlcikai/article/details/124605175