1. 项目概述为什么要在模拟器里抓包做APP或者小程序的安全测试尤其是渗透测试你迟早会遇到一个绕不开的坎抓包。直接在真机上抓证书问题、系统限制、网络配置每一步都可能让你卡上半天。这时候一个配置好的安卓模拟器就成了测试人员的“安全屋”。它提供了一个纯净、可控、可任意折腾的沙箱环境让你能像在Web端测试一样从容地拦截、分析、重放每一个网络请求。这个项目的核心就是搭建一套基于模拟器的APP/小程序抓包渗透测试环境。听起来简单不就是装个模拟器、配个代理吗但实际操作中从模拟器选型、网络桥接、证书安装到绕过各种抓包检测每一步都有讲究。我见过太多新手卡在“为什么Burp就是看不到包”或者“为什么装了证书还是提示不安全”这类问题上。今天我就把这几年来在模拟器里抓包做渗透测试的完整流程、核心原理和踩过的坑系统地梳理一遍。无论你是刚入行的安全测试工程师还是想对自己产品进行安全自查的开发人员这套方法都能让你快速上手把精力集中在漏洞挖掘本身而不是和环境斗智斗勇。2. 环境搭建模拟器与抓包工具选型解析工欲善其事必先利其器。环境搭建是第一步也是决定后续测试是否顺畅的基础。这里的选型没有绝对的最优解只有最适合当前测试场景的组合。2.1 安卓模拟器的选择与考量市面上模拟器很多但并非所有都适合安全测试。我们需要关注几个关键点系统纯净度、Root权限获取难度、网络配置灵活性、以及兼容性。MuMu模拟器近年来在安全圈很受欢迎。它的优势在于基于Android 9对较新的APP兼容性好并且提供了便捷的Root开关和共享文件夹功能。其网络模式通常设置为“桥接模式”可以让你宿主机和模拟器处于同一局域网方便代理设置。我个人在做常规测试时MuMu是我的首选。夜神模拟器老牌选手功能稳定支持多开。它的Android 7版本非常经典Root权限获取简单。但需要注意部分版本可能存在内置广告或后台进程可能干扰网络流量。建议使用其提供的“纯净版”或国际版。雷电模拟器性能不错同样支持多开和Root。它的网络设置选项也比较清晰。但有时在安装用户证书到系统目录时可能需要额外的步骤。官方Android Studio AVD最“原生”的模拟器完全可控适合深度定制和研究。但缺点是启动慢、资源占用高且默认不开启Root。对于追求效率和快速测试的场景它可能不是第一选择。注意避免使用那些冷门或高度定制化的模拟器它们可能在网络栈或证书处理上有非标准行为导致抓包失败。对于小程序测试由于微信客户端对运行环境有检测建议优先使用MuMu或夜神并关注其是否支持安装微信官方版本。我的常规选择是MuMu模拟器Android 9用于大多数APP测试如果需要测试对旧系统兼容性则辅以一个夜神模拟器Android 7。安装后第一件事就是在设置中开启“Root权限”不同模拟器该选项位置不同通常在“设置”-“关于手机”连续点击版本号开启开发者选项后在开发者选项或高级设置中找到。2.2 抓包代理工具的核心对比选好模拟器接下来是选择“中间人”。Burp Suite、Fiddler、Charles是三巨头但它们侧重点不同。Burp Suite Professional渗透测试的“瑞士军刀”。它不仅是抓包工具更是一个完整的测试平台包含Proxy、Repeater、Intruder、Scanner等强大模块。对于以漏洞挖掘为目的的渗透测试Burp是毋庸置疑的首选。它的代理功能强大拦截、修改、重放请求是核心工作流。社区版免费功能有限专业版是生产力工具。Fiddler Classic免费、强大特别是在Windows平台下。它的优势在于HTTP/HTTPS流量监控和调试非常直观自动解码JSON、图片等。对于快速查看API请求响应、进行简单的接口测试或调试非常方便。但在自动化攻击、漏洞扫描方面不如Burp专业。CharlesmacOS平台上的明星界面优雅功能同样强大。它对SSL证书处理、流量映射Map Local/Remote功能做得很好。适合前端开发或需要精细分析网络请求的场景。对于APP渗透测试我的建议非常明确主用Burp Suite用Fiddler或Charles作为辅助验证或特定场景下的补充。因为Burp的Repeater重放器和Intruder入侵者模块在测试参数篡改、暴力破解、逻辑漏洞时无可替代。接下来我将以Burp Suite Professional作为核心工具进行讲解。环境准备清单安装并启动MuMu模拟器确保网络模式为“桥接模式”。在宿主机你的电脑上安装Java环境Burp需要并下载安装Burp Suite Professional。获取你宿主机的局域网IP地址在Windows上ipconfig查看以太网或WLAN IPv4地址在macOS/Linux上ifconfig或ip addr查看。3. 核心配置让流量流向你的Burp环境就绪后最关键的一步是建立“中间人”攻击的通道即让模拟器中的所有网络流量都经过你电脑上运行的Burp代理。3.1 模拟器网络代理设置原理很简单告诉模拟器“你上网不要直接走先把所有请求发到我电脑的某个端口Burp监听的端口”。在模拟器内打开“设置” - “WLAN”或“网络和互联网”。长按当前已连接的Wi-Fi网络通常叫“WiredSSID”或类似名称选择“修改网络”。在高级选项中将“代理”设置为手动。代理服务器主机名填写你之前在宿主机上查到的局域网IP例如192.168.1.100。切记不要填127.0.0.1或localhost那是模拟器自己内部的环回地址不是宿主机的地址。代理服务器端口填写Burp默认监听的端口8080你可以在Burp的Proxy-Options中查看和修改监听端口。保存设置。此时模拟器的所有HTTP流量理论上都会流向192.168.1.100:8080。但你会发现很多APP特别是HTTPS的依然无法访问或Burp抓不到包。这是因为缺少了关键的一环——SSL/TLS证书。3.2 安装Burp的CA证书到模拟器系统信任区HTTPS通信需要验证证书。Burp作为中间人会对目标服务器进行HTTPS连接然后用自己的CA证书签发一个“假”的站点证书给模拟器。如果模拟器不信任Burp的CA证书就会中断连接提示“证书不被信任”或“网络错误”。步骤一从Burp导出证书在宿主机浏览器配置为使用Burp代理中访问http://burp或http://127.0.0.1:8080进入Burp的CA证书下载页面。下载cacert.der格式的证书。为什么是DER格式因为安卓系统通常直接识别DER或PEM格式而CER格式可能需要转换。步骤二将证书文件放入模拟器方法A共享文件夹如果模拟器如MuMu支持共享文件夹直接将cacert.der放入共享目录在模拟器的文件管理器中就能找到。方法BADB推送使用Android Debug Bridge (ADB)。首先在模拟器设置中开启“USB调试”。然后在宿主机命令行执行adb connect 127.0.0.1:7555 # MuMu默认端口夜神可能是62001雷电可能是5555 adb push cacert.der /sdcard/Download/这会将证书推送到模拟器的下载目录。步骤三在模拟器中安装证书这是最容易出错的一步。安卓高版本7.0对证书安装有严格限制。在模拟器内打开“设置” - “安全”或“加密与凭据”。找到“安装证书”或“从存储设备安装”选项。选择“CA证书”。从文件管理器如刚刚推送到的/sdcard/Download/中找到cacert.der文件并点击安装。系统会警告你确认安装。安装成功后你可以在“信任的凭据” - “用户”页签下看到名为“PortSwigger CA”或类似名称的证书。核心难点与解决方案很多APP特别是金融、社交类APP采用了“证书锁定”Certificate Pinning技术。它们会预先将合法的服务器证书公钥或哈希值打包在APP内。当建立连接时会对比接收到的证书和内置的证书如果不匹配即使你安装了Burp的CA证书连接也会被拒绝。这不是你的配置错误而是APP的主动防御。对付证书锁定通常需要在已Root的模拟器上使用Xposed框架配合JustTrustMe或SSLUnpinning模块或者使用Frida等动态插桩工具来Hook掉证书验证的逻辑。这属于进阶内容但你必须知道这个问题的存在。4. 实战抓包与渗透测试工作流配置妥当后我们进入实战环节。抓包不是目的通过抓包分析请求、寻找漏洞才是。4.1 启动拦截与基础流量分析在Burp中确保Proxy-Intercept是Intercept is on状态。在模拟器中打开你要测试的APP进行任意操作如登录、浏览商品、刷新列表。此时Burp的Intercept标签页会卡住显示拦截到的第一个HTTP/HTTPS请求。你可以在这里查看和修改请求的所有内容URL、方法、Headers、参数GET参数或POST Body。点击Forward放行请求或者Drop丢弃它。如果你只是想观察流量可以点击Intercept is off关闭拦截然后在Proxy-HTTP history中查看所有流经的历史记录。分析要点接口地址Endpoint识别APP的核心API接口。请求参数重点关注用户可控的输入点如username、password、id、mobile、orderNo等。注意参数是明文还是编码/加密的。身份认证凭证寻找Authorization头、Cookie、Token等字段。这是你后续测试其他需要认证接口的“钥匙”。响应内容观察服务器返回的数据结构是否暴露了敏感信息如用户ID、手机号、地址等是否存在错误信息泄露。4.2 使用Repeater进行深度测试HTTP history中右键任意一条请求选择Send to Repeater。Repeater模块允许你对单个请求进行手动、反复的修改和重放是测试逻辑漏洞的利器。测试场景举例越权测试在查看“我的订单”的请求中找到一个代表订单ID的参数如order_id12345。将其修改为另一个数字如order_id12346重放请求。如果成功返回了他人的订单信息则存在水平越权漏洞。参数篡改在支付请求中找到金额参数如amount100单位可能是分。尝试修改为amount1或amount-100观察后端是否校验充分。输入点模糊测试对每一个参数尝试输入SQL注入 payload如 OR 11、命令注入 payload如; ls、路径遍历 payload如../../../etc/passwd、XSS payload如scriptalert(1)/script观察响应是否有错误、延迟或执行了脚本。4.3 使用Intruder进行自动化爆破对于需要大量重复测试的场景如验证码爆破、密码枚举、ID遍历Intruder模块是自动化神器。以爆破4位数字验证码为例在Proxy history中找到发送验证码或验证验证码的请求右键Send to Intruder。在Intruder-Positions标签Burp会自动标记一些参数。清除所有标记Clear §然后手动选中验证码参数如vcode1234的值部分点击Add §将其标记为攻击点。切换到Payloads标签。因为验证码是4位数字我们选择Payload type为Numbers。设置From为0To为9999Step为1。为了保持4位格式在Payload Options的Number format中将Min integer digits设置为4Max integer digits设置为4。在Options标签中可以设置线程数、请求间隔避免触发风控等。点击右上角Start attack开始攻击。攻击窗口会显示每个Payload0000到9999的请求状态、响应长度、响应内容。通过对比成功请求如状态码200且响应内容不同和失败请求的差异找出正确的验证码。请注意此操作仅用于授权测试切勿用于非法攻击。5. 小程序抓包的特殊性处理微信小程序的抓包原理与APP类似但有其特殊性。小程序运行在微信客户端内其网络请求由微信统一管理。证书安装你需要将Burp的CA证书不仅安装到模拟器系统还必须安装到微信的运行环境中。具体方法是在模拟器内打开微信随意访问一个外部链接如http://www.baidu.com由于你设置了代理这个请求会被Burp拦截并返回一个证书错误页面。你需要在这个页面或通过http://burp下载证书并在微信内部或系统提示时完成安装。安卓高版本下微信可能使用自己的证书存储这步至关重要。代理设置小程序的代理设置依赖于系统代理。因此前面在模拟器Wi-Fi设置中配置的全局代理通常对小程序也有效。抓包启动时机有时需要先启动Burp并开启拦截再打开小程序才能抓到最初的几个关键请求如小程序代码包下载、初始化配置请求。接口识别小程序的请求域名通常需要在其后台配置且必须是HTTPS。抓包时你会看到大量指向https://servicewechat.com或配置的合法域名的请求。重点分析这些请求中的业务API。6. 常见问题排查与进阶技巧即使按照步骤操作你也可能遇到问题。这里记录一些典型的“坑”和解决方案。6.1 抓不到任何包Burp History为空检查代理配置确认模拟器Wi-Fi代理中填写的IP和端口是否正确。IP必须是宿主机的局域网IP不是127.0.0.1。可以在模拟器浏览器访问http://宿主机IP:8080看是否能打开Burp的页面。检查Burp监听确认Burp的Proxy-Options中Proxy Listeners有一个运行在8080端口或你设置的端口的监听器并且绑定在All interfaces或你的宿主机IP上。关闭防火墙宿主机防火墙可能阻止了模拟器的连接。临时关闭防火墙或为Burpjava.exe添加入站规则。模拟器网络模式确保模拟器网络是“桥接模式”Bridged而不是NAT模式。NAT模式下模拟器可能无法直接访问宿主机IP。6.2 HTTPS流量抓取失败TLS握手错误证书未正确安装确认Burp的CA证书已成功安装到模拟器的“用户信任的凭据”中。可以访问https://www.baidu.com测试如果能抓到包说明证书对普通网站有效。APP证书锁定如前所述这是最可能的原因。表现是只有该APP无法访问网络或Burp抓到的是CONNECT请求而没有后续的HTTP流量。解决方案是使用Frida等工具进行动态脱壳和Hook。一个简单的检测方法是尝试用系统浏览器访问该APP使用的同一个域名如果浏览器能正常访问通过Burp而APP不行基本就是证书锁定。安卓系统限制Android 7从Android 7开始APP默认不再信任用户安装的CA证书除非APP的网络安全配置明确允许。这需要你修改APP的包或使用已Root的模拟器将Burp证书移动到系统证书目录/system/etc/security/cacerts/并重命名为特定的哈希值。使用Magisk模块如Move Certificates可以简化这个过程。6.3 抓到的请求/响应乱码或加密压缩编码检查Content-Encoding头如gzip,deflate,br。Burp默认会自动解码这些压缩格式。如果没解码可以在Proxy-Options-Response Modification中确保相关选项已勾选。自定义二进制协议一些游戏或IM APP可能使用自定义的TCP或UDP协议如Protobuf。Burp无法直接解析其内容显示为乱码。你需要找到其协议文档或逆向分析其编解码方式然后使用Burp的Decoder模块或自定义插件进行解码。应用层加密这是越来越普遍的情况。APP在发送前对请求体甚至部分Header进行了对称或非对称加密。你看到的是密文。解决方法包括逆向APP找到加密密钥和算法、尝试Hook加密函数获取明文、或者寻找其Web端或旧版本APP可能存在的未加密接口。6.4 进阶技巧使用Frida进行动态分析当静态抓包遇到障碍时Frida这个动态插桩工具就派上用场了。它可以在APP运行时注入JavaScript代码来Hook关键函数如证书验证函数、加密函数、网络请求发送函数。一个简单示例Hook常见的证书验证函数Java.perform(function() { var Certificate Java.use(java.security.cert.Certificate); var X509Certificate Java.use(java.security.cert.X509Certificate); // Hook checkClientTrusted 和 checkServerTrusted 让它们什么都不做 var TrustManagerImpl Java.use(com.android.org.conscrypt.TrustManagerImpl); TrustManagerImpl.checkClientTrusted.implementation function(chain, authType) { console.log(Bypassing checkClientTrusted); }; TrustManagerImpl.checkServerTrusted.implementation function(chain, authType, host) { console.log(Bypassing checkServerTrusted for host: host); return chain; // 直接返回证书链表示信任 }; });将上述脚本保存为bypass_ssl.js在已Root的模拟器上运行Frida服务然后在宿主机执行frida -U -f com.target.app -l bypass_ssl.js --no-pause即可尝试绕过该APP的SSL证书验证。这需要你对目标APP有一定逆向分析能力以找到正确的Hook点。整个流程从环境搭建到深入测试是一个从易到难、不断解决问题的过程。最关键的还是对HTTP/HTTPS协议、移动端安全机制的理解以及耐心和细心。每一次抓包失败都是一次学习其背后原理的机会。
1. 项目概述为什么要在模拟器里抓包做APP或者小程序的安全测试尤其是渗透测试你迟早会遇到一个绕不开的坎抓包。直接在真机上抓证书问题、系统限制、网络配置每一步都可能让你卡上半天。这时候一个配置好的安卓模拟器就成了测试人员的“安全屋”。它提供了一个纯净、可控、可任意折腾的沙箱环境让你能像在Web端测试一样从容地拦截、分析、重放每一个网络请求。这个项目的核心就是搭建一套基于模拟器的APP/小程序抓包渗透测试环境。听起来简单不就是装个模拟器、配个代理吗但实际操作中从模拟器选型、网络桥接、证书安装到绕过各种抓包检测每一步都有讲究。我见过太多新手卡在“为什么Burp就是看不到包”或者“为什么装了证书还是提示不安全”这类问题上。今天我就把这几年来在模拟器里抓包做渗透测试的完整流程、核心原理和踩过的坑系统地梳理一遍。无论你是刚入行的安全测试工程师还是想对自己产品进行安全自查的开发人员这套方法都能让你快速上手把精力集中在漏洞挖掘本身而不是和环境斗智斗勇。2. 环境搭建模拟器与抓包工具选型解析工欲善其事必先利其器。环境搭建是第一步也是决定后续测试是否顺畅的基础。这里的选型没有绝对的最优解只有最适合当前测试场景的组合。2.1 安卓模拟器的选择与考量市面上模拟器很多但并非所有都适合安全测试。我们需要关注几个关键点系统纯净度、Root权限获取难度、网络配置灵活性、以及兼容性。MuMu模拟器近年来在安全圈很受欢迎。它的优势在于基于Android 9对较新的APP兼容性好并且提供了便捷的Root开关和共享文件夹功能。其网络模式通常设置为“桥接模式”可以让你宿主机和模拟器处于同一局域网方便代理设置。我个人在做常规测试时MuMu是我的首选。夜神模拟器老牌选手功能稳定支持多开。它的Android 7版本非常经典Root权限获取简单。但需要注意部分版本可能存在内置广告或后台进程可能干扰网络流量。建议使用其提供的“纯净版”或国际版。雷电模拟器性能不错同样支持多开和Root。它的网络设置选项也比较清晰。但有时在安装用户证书到系统目录时可能需要额外的步骤。官方Android Studio AVD最“原生”的模拟器完全可控适合深度定制和研究。但缺点是启动慢、资源占用高且默认不开启Root。对于追求效率和快速测试的场景它可能不是第一选择。注意避免使用那些冷门或高度定制化的模拟器它们可能在网络栈或证书处理上有非标准行为导致抓包失败。对于小程序测试由于微信客户端对运行环境有检测建议优先使用MuMu或夜神并关注其是否支持安装微信官方版本。我的常规选择是MuMu模拟器Android 9用于大多数APP测试如果需要测试对旧系统兼容性则辅以一个夜神模拟器Android 7。安装后第一件事就是在设置中开启“Root权限”不同模拟器该选项位置不同通常在“设置”-“关于手机”连续点击版本号开启开发者选项后在开发者选项或高级设置中找到。2.2 抓包代理工具的核心对比选好模拟器接下来是选择“中间人”。Burp Suite、Fiddler、Charles是三巨头但它们侧重点不同。Burp Suite Professional渗透测试的“瑞士军刀”。它不仅是抓包工具更是一个完整的测试平台包含Proxy、Repeater、Intruder、Scanner等强大模块。对于以漏洞挖掘为目的的渗透测试Burp是毋庸置疑的首选。它的代理功能强大拦截、修改、重放请求是核心工作流。社区版免费功能有限专业版是生产力工具。Fiddler Classic免费、强大特别是在Windows平台下。它的优势在于HTTP/HTTPS流量监控和调试非常直观自动解码JSON、图片等。对于快速查看API请求响应、进行简单的接口测试或调试非常方便。但在自动化攻击、漏洞扫描方面不如Burp专业。CharlesmacOS平台上的明星界面优雅功能同样强大。它对SSL证书处理、流量映射Map Local/Remote功能做得很好。适合前端开发或需要精细分析网络请求的场景。对于APP渗透测试我的建议非常明确主用Burp Suite用Fiddler或Charles作为辅助验证或特定场景下的补充。因为Burp的Repeater重放器和Intruder入侵者模块在测试参数篡改、暴力破解、逻辑漏洞时无可替代。接下来我将以Burp Suite Professional作为核心工具进行讲解。环境准备清单安装并启动MuMu模拟器确保网络模式为“桥接模式”。在宿主机你的电脑上安装Java环境Burp需要并下载安装Burp Suite Professional。获取你宿主机的局域网IP地址在Windows上ipconfig查看以太网或WLAN IPv4地址在macOS/Linux上ifconfig或ip addr查看。3. 核心配置让流量流向你的Burp环境就绪后最关键的一步是建立“中间人”攻击的通道即让模拟器中的所有网络流量都经过你电脑上运行的Burp代理。3.1 模拟器网络代理设置原理很简单告诉模拟器“你上网不要直接走先把所有请求发到我电脑的某个端口Burp监听的端口”。在模拟器内打开“设置” - “WLAN”或“网络和互联网”。长按当前已连接的Wi-Fi网络通常叫“WiredSSID”或类似名称选择“修改网络”。在高级选项中将“代理”设置为手动。代理服务器主机名填写你之前在宿主机上查到的局域网IP例如192.168.1.100。切记不要填127.0.0.1或localhost那是模拟器自己内部的环回地址不是宿主机的地址。代理服务器端口填写Burp默认监听的端口8080你可以在Burp的Proxy-Options中查看和修改监听端口。保存设置。此时模拟器的所有HTTP流量理论上都会流向192.168.1.100:8080。但你会发现很多APP特别是HTTPS的依然无法访问或Burp抓不到包。这是因为缺少了关键的一环——SSL/TLS证书。3.2 安装Burp的CA证书到模拟器系统信任区HTTPS通信需要验证证书。Burp作为中间人会对目标服务器进行HTTPS连接然后用自己的CA证书签发一个“假”的站点证书给模拟器。如果模拟器不信任Burp的CA证书就会中断连接提示“证书不被信任”或“网络错误”。步骤一从Burp导出证书在宿主机浏览器配置为使用Burp代理中访问http://burp或http://127.0.0.1:8080进入Burp的CA证书下载页面。下载cacert.der格式的证书。为什么是DER格式因为安卓系统通常直接识别DER或PEM格式而CER格式可能需要转换。步骤二将证书文件放入模拟器方法A共享文件夹如果模拟器如MuMu支持共享文件夹直接将cacert.der放入共享目录在模拟器的文件管理器中就能找到。方法BADB推送使用Android Debug Bridge (ADB)。首先在模拟器设置中开启“USB调试”。然后在宿主机命令行执行adb connect 127.0.0.1:7555 # MuMu默认端口夜神可能是62001雷电可能是5555 adb push cacert.der /sdcard/Download/这会将证书推送到模拟器的下载目录。步骤三在模拟器中安装证书这是最容易出错的一步。安卓高版本7.0对证书安装有严格限制。在模拟器内打开“设置” - “安全”或“加密与凭据”。找到“安装证书”或“从存储设备安装”选项。选择“CA证书”。从文件管理器如刚刚推送到的/sdcard/Download/中找到cacert.der文件并点击安装。系统会警告你确认安装。安装成功后你可以在“信任的凭据” - “用户”页签下看到名为“PortSwigger CA”或类似名称的证书。核心难点与解决方案很多APP特别是金融、社交类APP采用了“证书锁定”Certificate Pinning技术。它们会预先将合法的服务器证书公钥或哈希值打包在APP内。当建立连接时会对比接收到的证书和内置的证书如果不匹配即使你安装了Burp的CA证书连接也会被拒绝。这不是你的配置错误而是APP的主动防御。对付证书锁定通常需要在已Root的模拟器上使用Xposed框架配合JustTrustMe或SSLUnpinning模块或者使用Frida等动态插桩工具来Hook掉证书验证的逻辑。这属于进阶内容但你必须知道这个问题的存在。4. 实战抓包与渗透测试工作流配置妥当后我们进入实战环节。抓包不是目的通过抓包分析请求、寻找漏洞才是。4.1 启动拦截与基础流量分析在Burp中确保Proxy-Intercept是Intercept is on状态。在模拟器中打开你要测试的APP进行任意操作如登录、浏览商品、刷新列表。此时Burp的Intercept标签页会卡住显示拦截到的第一个HTTP/HTTPS请求。你可以在这里查看和修改请求的所有内容URL、方法、Headers、参数GET参数或POST Body。点击Forward放行请求或者Drop丢弃它。如果你只是想观察流量可以点击Intercept is off关闭拦截然后在Proxy-HTTP history中查看所有流经的历史记录。分析要点接口地址Endpoint识别APP的核心API接口。请求参数重点关注用户可控的输入点如username、password、id、mobile、orderNo等。注意参数是明文还是编码/加密的。身份认证凭证寻找Authorization头、Cookie、Token等字段。这是你后续测试其他需要认证接口的“钥匙”。响应内容观察服务器返回的数据结构是否暴露了敏感信息如用户ID、手机号、地址等是否存在错误信息泄露。4.2 使用Repeater进行深度测试HTTP history中右键任意一条请求选择Send to Repeater。Repeater模块允许你对单个请求进行手动、反复的修改和重放是测试逻辑漏洞的利器。测试场景举例越权测试在查看“我的订单”的请求中找到一个代表订单ID的参数如order_id12345。将其修改为另一个数字如order_id12346重放请求。如果成功返回了他人的订单信息则存在水平越权漏洞。参数篡改在支付请求中找到金额参数如amount100单位可能是分。尝试修改为amount1或amount-100观察后端是否校验充分。输入点模糊测试对每一个参数尝试输入SQL注入 payload如 OR 11、命令注入 payload如; ls、路径遍历 payload如../../../etc/passwd、XSS payload如scriptalert(1)/script观察响应是否有错误、延迟或执行了脚本。4.3 使用Intruder进行自动化爆破对于需要大量重复测试的场景如验证码爆破、密码枚举、ID遍历Intruder模块是自动化神器。以爆破4位数字验证码为例在Proxy history中找到发送验证码或验证验证码的请求右键Send to Intruder。在Intruder-Positions标签Burp会自动标记一些参数。清除所有标记Clear §然后手动选中验证码参数如vcode1234的值部分点击Add §将其标记为攻击点。切换到Payloads标签。因为验证码是4位数字我们选择Payload type为Numbers。设置From为0To为9999Step为1。为了保持4位格式在Payload Options的Number format中将Min integer digits设置为4Max integer digits设置为4。在Options标签中可以设置线程数、请求间隔避免触发风控等。点击右上角Start attack开始攻击。攻击窗口会显示每个Payload0000到9999的请求状态、响应长度、响应内容。通过对比成功请求如状态码200且响应内容不同和失败请求的差异找出正确的验证码。请注意此操作仅用于授权测试切勿用于非法攻击。5. 小程序抓包的特殊性处理微信小程序的抓包原理与APP类似但有其特殊性。小程序运行在微信客户端内其网络请求由微信统一管理。证书安装你需要将Burp的CA证书不仅安装到模拟器系统还必须安装到微信的运行环境中。具体方法是在模拟器内打开微信随意访问一个外部链接如http://www.baidu.com由于你设置了代理这个请求会被Burp拦截并返回一个证书错误页面。你需要在这个页面或通过http://burp下载证书并在微信内部或系统提示时完成安装。安卓高版本下微信可能使用自己的证书存储这步至关重要。代理设置小程序的代理设置依赖于系统代理。因此前面在模拟器Wi-Fi设置中配置的全局代理通常对小程序也有效。抓包启动时机有时需要先启动Burp并开启拦截再打开小程序才能抓到最初的几个关键请求如小程序代码包下载、初始化配置请求。接口识别小程序的请求域名通常需要在其后台配置且必须是HTTPS。抓包时你会看到大量指向https://servicewechat.com或配置的合法域名的请求。重点分析这些请求中的业务API。6. 常见问题排查与进阶技巧即使按照步骤操作你也可能遇到问题。这里记录一些典型的“坑”和解决方案。6.1 抓不到任何包Burp History为空检查代理配置确认模拟器Wi-Fi代理中填写的IP和端口是否正确。IP必须是宿主机的局域网IP不是127.0.0.1。可以在模拟器浏览器访问http://宿主机IP:8080看是否能打开Burp的页面。检查Burp监听确认Burp的Proxy-Options中Proxy Listeners有一个运行在8080端口或你设置的端口的监听器并且绑定在All interfaces或你的宿主机IP上。关闭防火墙宿主机防火墙可能阻止了模拟器的连接。临时关闭防火墙或为Burpjava.exe添加入站规则。模拟器网络模式确保模拟器网络是“桥接模式”Bridged而不是NAT模式。NAT模式下模拟器可能无法直接访问宿主机IP。6.2 HTTPS流量抓取失败TLS握手错误证书未正确安装确认Burp的CA证书已成功安装到模拟器的“用户信任的凭据”中。可以访问https://www.baidu.com测试如果能抓到包说明证书对普通网站有效。APP证书锁定如前所述这是最可能的原因。表现是只有该APP无法访问网络或Burp抓到的是CONNECT请求而没有后续的HTTP流量。解决方案是使用Frida等工具进行动态脱壳和Hook。一个简单的检测方法是尝试用系统浏览器访问该APP使用的同一个域名如果浏览器能正常访问通过Burp而APP不行基本就是证书锁定。安卓系统限制Android 7从Android 7开始APP默认不再信任用户安装的CA证书除非APP的网络安全配置明确允许。这需要你修改APP的包或使用已Root的模拟器将Burp证书移动到系统证书目录/system/etc/security/cacerts/并重命名为特定的哈希值。使用Magisk模块如Move Certificates可以简化这个过程。6.3 抓到的请求/响应乱码或加密压缩编码检查Content-Encoding头如gzip,deflate,br。Burp默认会自动解码这些压缩格式。如果没解码可以在Proxy-Options-Response Modification中确保相关选项已勾选。自定义二进制协议一些游戏或IM APP可能使用自定义的TCP或UDP协议如Protobuf。Burp无法直接解析其内容显示为乱码。你需要找到其协议文档或逆向分析其编解码方式然后使用Burp的Decoder模块或自定义插件进行解码。应用层加密这是越来越普遍的情况。APP在发送前对请求体甚至部分Header进行了对称或非对称加密。你看到的是密文。解决方法包括逆向APP找到加密密钥和算法、尝试Hook加密函数获取明文、或者寻找其Web端或旧版本APP可能存在的未加密接口。6.4 进阶技巧使用Frida进行动态分析当静态抓包遇到障碍时Frida这个动态插桩工具就派上用场了。它可以在APP运行时注入JavaScript代码来Hook关键函数如证书验证函数、加密函数、网络请求发送函数。一个简单示例Hook常见的证书验证函数Java.perform(function() { var Certificate Java.use(java.security.cert.Certificate); var X509Certificate Java.use(java.security.cert.X509Certificate); // Hook checkClientTrusted 和 checkServerTrusted 让它们什么都不做 var TrustManagerImpl Java.use(com.android.org.conscrypt.TrustManagerImpl); TrustManagerImpl.checkClientTrusted.implementation function(chain, authType) { console.log(Bypassing checkClientTrusted); }; TrustManagerImpl.checkServerTrusted.implementation function(chain, authType, host) { console.log(Bypassing checkServerTrusted for host: host); return chain; // 直接返回证书链表示信任 }; });将上述脚本保存为bypass_ssl.js在已Root的模拟器上运行Frida服务然后在宿主机执行frida -U -f com.target.app -l bypass_ssl.js --no-pause即可尝试绕过该APP的SSL证书验证。这需要你对目标APP有一定逆向分析能力以找到正确的Hook点。整个流程从环境搭建到深入测试是一个从易到难、不断解决问题的过程。最关键的还是对HTTP/HTTPS协议、移动端安全机制的理解以及耐心和细心。每一次抓包失败都是一次学习其背后原理的机会。
