一种监控android的TLS流量的方法

Question

假设我想监控一个 android 应用程序发送的流量，因为我不信任它，或者我想看看它是否正在向其服务器发送不需要的数据。有什么办法吗？即使我必须将 .apk 运行到模拟器中或将电缆插入我的 android，我需要的是能够以某种方式查看应用程序内部的流量。或者至少是一种获取客户端和服务器之间密钥的方法，然后通过wireshark监控流量并解密所有内容。你们知道方法吗？

我读到 java 不能直接实现 RSA 算法，但它的许可 VM 执行器可以，那么有没有办法获取用于在 android 中运行的 openssl 进程的密钥？ （我想这就是它的工作原理）

Answer 1

当然。您需要的是一个 MITM 代理，例如 BurpSuite。您为代理工具安装证书颁发机构，并使其成为您设备的 HTTP 代理。然后，它将为设备访问的所有站点即时生成新证书并捕获流量。如果应用程序采取额外的步骤（例如证书固定），这可能会失败，但它通常会很好地解决问题。