【发布时间】：2020-11-12 16:14:51
【问题描述】：
我有一个需要对其进行性能测试的应用程序，但它启用了固定，因此我无法捕获流量。是否有任何特定工具可以帮助我捕获流量？
【问题讨论】：
【发布时间】：2020-11-12 16:14:51
【问题描述】：
固定是在客户端实施的附加安全层，让移动应用程序在 HTTPs 连接建立期间仅信任特定的 SSL 证书，而不是安装在设备信任库中的证书。由于实现是客户端实现，因此可以使用以下技术轻松绕过：
SSL Pinning 是在客户端实施的附加安全层，让移动应用程序在 HTTPs 连接建立期间只信任特定的 SSL 证书，而不是安装在设备信任存储中的证书。由于实现是客户端实现，因此可以使用以下技术轻松绕过：
自动化方法
Xposed 模块，例如 SSLUnpinning 2.0。 FRIDA(Dynamic Instrumentation Tool)-通用 SSL Pinning 绕过脚本。 Inspeckage-Android 包检查器 手动方法
我觉得这是绕过 SSL Pinning 的最后一个复杂且最可靠的解决方案。以下是执行相同操作的步骤。
了解 SSL Pinning 的实现。你可以参考这个 Medium 博客，它解释了使用不同的网络库（如 OkHttp、Volley、Retrofit 等）实现 SSL Pinning。 分析负责的方法并将其映射到 SMALI 代码。 一旦分析并确定了负责的方法，我们就可以使用以下方法绕过 SSL Pinning：
篡改应用
篡改 SMALI 代码以绕过 SSL 固定。 使用 APKTool 重新构建应用程序。 退出并安装应用程序并捕获流量。
【讨论】：