前言

某音国际版(以下简写为TT)中使用了自定义的SSL框架，提高抓包的成本。如xp框架JustTrustMe、frida框架r0capture等均会失效。原因在于这些模块针对的是系统原生的SSL框架，而TT自定义了自己的SSL框架。那么如果我们需要对TT进行抓包的话，就需要对TT的检测动手脚，本文章会举例两种方式进行TT(Android)的网络请求获取。(网上都有相关教程，文章仅为自己实践记录)

TT版本为全球版(packageName:com.zhiliaoapp.musically version:25.0.3)。

方式一：通过修改so包跳过SSL检测

常见的抓包方式大多数是使用Fiddler、Charles等工具，本文使用Fiddler进行抓包操作，电脑系统Window 10。

Fiddler的安装及Https抓包配置就不赘述了，自行网上查找相关文章。这里需要注意一点，Android 7+的版本，系统将不信任用户证书，正常通过Fiddler下载安装的证书依旧无法抓包HTTPS。这时需要一台root后的手机，将Fiddler的证书转换为系统证书并安装到手机内。

Fiddler系统证书具体操作

1、点击Fiddler的Tools选择Options，弹窗的选项卡中选择HTTPS，点击右侧Actions选择Export Root Certificate to Desktop将Fiddler证书导出桌面，

2、打开cmd，通过openssl命令获取到Fiddler证书的hash值。

openssl x509 -inform DER -subject_hash_old -in FiddlerRoot.cer

3、将导出的证书重命名，格式为：获取到的hash值.0，如我获取到的hash值为e5c3944b，那么我的证书名字命名为e5c3944b.0。

4、将重命名后的文件放置到手机的/system/etc/security/cacerts/路径下即可。

以上操作完成后，正常抓包HTTPS已经可以了。

修改so包

TT防止抓包主要通过自定义SSL校验来实现，那么我们只要将TT检验的最终结果修改成校验通过就可以正常的抓包。以下操作参考文章《[原创] 听说最新版的某音大家都抓不到包,给大家一个方案》。

根据以上文章可以知道TT的自定义SSL校验在一个叫libsscronet.so的so包里，那我们就将TT的apk包重命名为zip，然后解压。解压后得到很多文件，点击lib目录，再点击对应的abi目录，可以找到这个so包。

获取到so包后需要在so包内找到TT最终校验的结果，通过IDA打开so包查找(多图预警)。

1、通过IDA打开

2、点击菜单栏 -> View -> Open subviews -> Strings

3、搜索关键词(Ctrl + F) verifycert

4、点击搜索结果

5、如上图点击sub_1A1B9C函数

6、点击键盘F5转成伪C代码

根据以上文章可以知道当so包return 0的时候就表示校验成功，那么我们只需要把图中的return 1修改为0即可。往下拉到最后有一个sub_1A2210的函数内还有两个返回结果需要修改自行查找。

7、鼠标选中这个1，然后点击菜单栏 -> View -> Open subviews -> Hex dump

这里面的01 20就是返回的那个1。

8、找到对应要修改的地址之后，就可以对so包进行修改了，我使用的工具是Hex_Editor，010Editor也都可以。

打开Hex_Editor并加载libsscronet.so

通过地址001A1C60找到对应的位置直接修改

修改完成后点击左上角保存，这样就算是修改完成了。

这时我们重新用IDA打开libsscronet.so后，可以看到值已经修改为0了

剩下的两个返回结果都在sub_1A2210函数中，根据以上方式修改即可。

9、so包修改完成之后，将手机中的/data/app/com.zhiliaoapp.musically-bhvw6FKsbL40BdQiFJ_kGg==/lib/arm/libsscronet.so替换为新的so包即可(app目录下的文件名认准包名即可)。

10、替换成功后，将手机设置好代理打开TT，即可看到抓包信息

通过以上方式可以抓到大部分TT的接口。不过在抓包过程中发现有部分接口如登录接口，抓包数据都可以获取到，但是请求结果都是失败，无法成功登录账号。这就导致无法通过这个方式抓包获取到登录成功后的数据。

这时候就需要使用我们的第二种方式，通过Hook进行请求数据的获取

方式二：Hook TT

在通过jadx反编译时发现TT使用的网络请求框架是Retrofit，熟悉的朋友都知道Retrofit底层使用依旧是Okhttp，那么我们Hook的切入点可以从拦截器或者初始化时传入的OkClient入手。

1、首先需要安装Hook的环境，本文使用frida进行Hook，代码逻辑基本上差不多，看个人意愿也可使用xposed。frida的安装可自行搜索教程。

注：若出现frida.ServerNotRunningError: unable to connect to remote frida-server问题可打开命令行输入adb forward tcp:27042 tcp:27042

2、通过反编译确认了TT初始化Retrofit的位置是com.bytedance.ies.ugc.aweme.network.RetrofitFactory。

此处可看到有一个代码初始化了OkClient，而下方的C25210xZ猜测为自定义的OkClient。

经过对这个类多次代码逻辑梳理及Hook，找到了X.MBJ的类，该类中的LIZ方法的返回值c内有请求的所有数据，猜测可能是response。

3、接下来就是编写Hook的代码

python

import frida, sys
import time
def on_message(message, data):
    if message['type'] == 'send':
        print("[*] {0}".format(message['payload']))
    else:
        print(message)

device = frida.get_remote_device()
pid = device.spawn(["com.zhiliaoapp.musically"])
device.resume(pid)
time.sleep(1) 
process = device.attach(pid)
f = open('hook.js','r',encoding='utf-8')
script = process.create_script(f.read())
script.on('message', on_message)
print('[*] Running CTF')
script.load()
sys.stdin.read()

js

Java.perform(function() {
    var gson = Java.use('com.google.gson.Gson');
    var gson1 = gson.$new();
    var clz = Java.use('X.MBJ')
    clz.LIZ.overload().implementation = function() {
        var result = this.LIZ()
        var json = gson1.LIZIZ(result)
        var jobj = JSON.parse(json)
        if (jobj.LIZ.indexOf('service/2/app_log') != -1) {
            console.log('**********************INTERFACE**********************');
            console.log('url -> ' + jobj.LIZ)
            console.log('')
            console.log('request.headers ->', jobj.LJFF.LJJIII)
            console.log('')
            console.log('response.data -> ', String.fromCharCode.apply(String, jobj.LJ.bytes))
            console.log('')
            console.log('response.headers ->', jobj.LJFF.LJJIIJ)
            console.log('**************************END************************');
        }
        return result
    }
}

编写完成后，就可以运行了，结果如下：

该方式获取的请求头中无法找到加密参数，有兴趣的朋友可自行继续查找。

结尾

这两种方式理论适用所有TT版本，区别在于不同版本路径、代码位置有区别。

以上内容仅学习实践，若有什么问题，请及时联系我

本文链接：juejin.cn/post/712272…