【发布时间】：2014-08-14 01:25:50
【问题描述】：
我想在我的 Android 应用 (https://www.owasp.org/index.php/Certificate_and_Public_Key_Pinning) 上实现固定。简而言之，它是客户端将接受的公钥白名单。它在我的客户端中进行了硬编码，因此除非 SSL 握手具有特定的公钥，否则应用程序不会与服务器通信。
问题：我想使用 Charles Proxy 来查看来回的 HTTPS 流量，因为 Charles Proxy 本质上是一个 MITM 并使用自己的证书签署请求，所以我的应用程序拒绝它。
有没有办法给查尔斯服务器证书（我拥有它）并让它用它来签署请求？
【问题讨论】：
-
我见过人们用 Wireshark 做这件事。我不记得看到有人用 Charles 或 Burp 做这件事。使用 Wireshark，您需要向该工具提供服务器的密钥或连接的预主密钥。请参阅 Wireshark wiki 上的 Secure Socket Layer (SSL)。
标签： ssl proxy charles-proxy pinning