Как сниффить HTTPS-трафик iOS-устройства

a4n0adtaeosbezsajgrfszbxtrw.jpeg

Привет, меня зовут Андрей Батутин, я Senior iOS Developer в DataArt, и сегодня мы будем сниффить HTTPS-трафик твоего «Айфона».

FoodSniffer и с чем его едят


Возьмем, к примеру, очень простое iOS-приложение FoodSniffer. Оно в зависимости от времени дня показывает пользователю, что можно есть.

fsbru_ly25oqnao_8ifqt42jacy.png

Приложение получает от сервера JSON вида:

[
  {
    "name" : "soup",
    "consumePeriod" : "morning"
  },
…
]


Сервером в данном случае выступает Dropbox, а JSON можно посмотреть здесь.

Проблема №1


Пришел баг, что вместо двух элементов в списке разрешенной утром еды приложение показывает только один.

Один из способов проверить, что пошло не так, — увидеть JSON, который вам возвращает сервер.

Как сниффить трафик?


Предположим, что ваши MacOS-компьютер и iOS-устройство находятся в одной локальной сети, которая выглядит примерно так:

v5_lawxwesaw6qpr3-snd0c7dfe.png

Трафик идет от iOS-устройства через роутер к серверу независимо от трафика компьютера.

Чтобы читать трафик iOS-устройства, нам нужно сделать так, чтобы он шел через наш Мac. Примерно так:

qqlzxf6q92ygyk73v4bruvsqml0.png

Кроме того, нам понадобится HTTP/S-прокси-сервер, с помощью которого мы бы и смотрели/модифицировали проходящий трафик iOS-устройства.

Еще одна очень важная задача — иметь возможность сниффить HTTPS-трафик. Загвоздка в том, что HTTPS-протокол и создавался, чтобы, кроме клиента и сервера, никто не мог прочесть, что передается в HTTPS-запросах. Поэтому HTTPS-прокси должен поставлять с собой еще и SSL-сертификат, который нужен для работы с HTTPS-трафиком.

Иными словами, нам нужно реализовать Man-in-the-Middle-атаку на нашу собственную сеть.

_xbjsbi2ehcuk3fwbbeoaw9lsr8.png

Charles Web Debugging Proxy Application


Как видим, сниффить HTTPS-трафик — задача многоэтапная, поэтому чтобы максимально упростить себе жизнь, я использую Charles Proxy.

Начнем с минусов:

  • Он платный, но единственное ограничение которое есть в пробной версии — Charles работает не дольше 30 минут, потом его надо перезапускать. Еще есть пятисекундные задержки при запуске. Это раздражает, но жить можно.
  • Если вам нужен подлинный хакерский инструмент для работы на удаленном сервере 24/7, да еще с нормальным CLI, Charles не для вас.
  • Если вы работаете на Windows, вам лучше взять Fiddler, он еще и бесплатный.
  • Если вам нужен прокси-сервер для большого количества устройств (больше двух-трех), Charles не для вас.
  • Если вам нужно работать с TCP/IP-пакетами в чистом виде, возьмите Wireshark.


Теперь плюсы:

  • User-Friendly UI. Charles не требует никаких специальных знаний ни для установки, ни для настройки, ни для использования. Обычное MacOs оконное приложение.
  • HTTPS for iOS — у Charles есть набор инструментов, которые делают HTTPS-сниффинг с вашего iOS-устройства максимально простым в настройке.
  • Функционал — Charles может сниффить, модифицировать проходящий через него трафик, имитировать медленный интернет, собирать статистику, импорт/экспорт трафика в различных форматах.
  • Доступен для Windows и Linux.


Для меня это оптимальное решение по соотношению функционала и простоты в использовании при работе с iOS-устройствами.

Настройка Charles и iOS-устройства


Далее будет описана процедура первоначальной настройки iOS-устройства для работы с Charles Proxy.

1. Запустить Charles на компьютере:

7_9tt282e2ulhrkg6nha0zlidsw.png

2. Установить Charles Root Certificate на iOS устройстве:

В меню выбираем Help → SSL Proxing — > Install Charles Root Certificate on Mobile Device or Remote Browser.

eetlvlctkstxbxa0uld6b6nbwvk.png

Появится следующее окно:

70o50ggj92kd8t_fjxo-a--uh3e.png

3. В настройках сети iOS-устройства указываем IP и порт Charles Proxy:

0eq3ozbi5czwwi7sgpzu_j8nfg8.png

В зависимости от архитектуры вашей сети IP-адрес, на котором работает Charles, может отличаться.

4. Открываем браузер на iOS-устройстве и переходим по ссылке — http://chls.pro/ssl.

mc_6ol45uh4yrwixs0b0p0ko9xm.png

5. Устанавливаем Charles SSL-сертификат на устройство:

km0p9-zasxuckzmyoqd1hgqtw2y.png

6. Указываем в настройках устройства, что полностью доверяем данному сертификату:

cobd2cqa3rcoacww-3coe2-nohs.png

Шестой этап нужен для устройств с iOS 10 и выше.

На 5–6-м этапах мы установили на устройство Charles SSL-сертификат и указали, что мы ему доверяем. Т. е. теперь весь HTTPS-трафик, подписанный этим сертификатом, не будет блокироваться ATS.

Как смотреть трафик iOS-устройства


Откройте приложение FoodSniffer. Если настройка прокси была сделана правильно, то вы должны увидеть такой экран:

fsbru_ly25oqnao_8ifqt42jacy.png

В Charles Proxy откройте в меню Tools → No Caching.

И полностью выключите кэширование на прокси-сервере.

kp7kpfnjabtpe3rz-c_n-72hmau.png

В приложении реализован Pull-to-refresh, после обновления списка продуктов вы должны в Charles увидеть https://www.dropbox.com в списке с левой стороны. Нажмите правой кнопкой мыши на него и выберите Enable SSL Proxing.

o8wm0l9qpirei_uclwreglz4xgq.png

После этого еще раз обновите список продуктов в приложении. Теперь вы должны увидеть примерно такую картину:

epupdm7buiijg5cxr1iaq8bg-dk.png

Теперь мы можем свободно читать HTTPS-трафик, который идет от приложения на Dropbox за нашим JSON.

Но это еще не все!

Dropbox не отдает JSON c хоста dropbox.com напрямую. Вместо этого он возвращает 302-респонс и редиректит еще на один хост, с которого и происходит загрузка данных.

Найти его можно, просмотрев Raw Response следующего запроса:

kuklut0rfyvddx9btfcbxfywkpk.png

В данном случае это —
uc9c29db95802af8490afc3afda9.dl.dropboxusercontent.com.

У вас, скорее всего, будет немного другой хост.

Затем включаем для него SSL Proxing: Enabled.

Обновляем FoodSniffer еще раз.

И теперь мы наконец можем увидеть реальный JSON, который и показывает приложение!

ycsc3tuo_h-nx6fnsqwxjrcpmxo.png

Мы видим, что у нас есть всего один тип еды на вечернее время — виски, пишем об этом нашему тимлиду и идем пить кофе, проблема не на нашей стороне.

*В проекте применяется уже исправленный JSON, с двумя типами еды на вечер: пивом и виски.
*Если вы не видите хост http://uc9c29db95802af8490afc3afda9.dl.dropboxusercontent.com или похожий на него в списке в левой части окна, попробуйте обновить список продуктов в приложении несколько раз.

Проблема № 2, или Как изменять HTTPS-трафик iOS-устройства


Бэкенд-команда исправила меню на вечер, и теперь JSON формируется правильно. Но что делать, если сейчас утро, а ждать до вечера, чтобы проверить фикс, не хочется?

Один из вариантов — с помощью Charles изменять JSON, который вам приходит в ответ от Dropbox.

В данном случае нам нужно изменить consumePeriod с evening на morning.

Для этого в меню выбираем Tools → Rewrite.

В появившемся окне Rewrite Settings добавляем новую категорию для перезаписи — dropbox.

5vgrbt2iaqgsh4hd5hlefm1a_qu.png

Добавляем хост, указывая https-порт в Edit Location меню:

5wqv9oag85_grxuguzbyxfjcses.png

После этого добавляем правила перезаписи в Rewrite Rule меню следующим образом:

wuta_qy4lleaclipyxemcj-p39o.png

Т. е. теперь в каждом Body респонса от нашего сервера слово evening будет заменено на слово morning.

При необходимости мы можем менять любую часть HTTP-запроса/ответа, плюс использовать regex-выражение для замены текста.

Теперь, обновив список, мы должны увидеть четыре типа продуктов:

cvircb-tlzrqrodkk3lywwleizc.png

Вывод


Charles довольно простой, условно-бесплатный, обладает богатым функционалом HTTPS-прокси. С моей точки зрения, он лучше всего проявляет себя при работе с MacOS и iOS-устройствами.

Это далеко не единственный способ сниффить трафик. Для HTTP/S-трафика широко применяют и Fiddler. Если вам нужно уйти глубже в TCP/IP-стэк — есть Wireshark.

Кроме того, существует проблема certificate pinning. Если в вашем приложении он реализован, вам надо либо добавлять Charles SSL-сертификат в список разрешенных сертификатов, либо использовать такое средства, как Frida, чтобы отключить certificate pinning уже на уровне самого приложения. Об этом подробнее надеюсь рассказать в следующей статье.

Буду рад, если вы поделитесь вашим опытом в мониторинге трафика, в том числе HTTP/S, советам и лайфхаками.

Примечание. Используйте эту технику только для своих приложений, пожалуйста. Будьте белыми зайчиками хакерами!

Примечание 2. Недавно история об этом выходила на украинском, но по-русски я ее публикую впервые.

© Habrahabr.ru