iOS SSL Pinning: 增强应用程序安全性的一种方法
## 介绍
随着移动应用程序的普及，保护敏感数据和用户隐私变得越来越重要。在iOS应用程序中，SSL Pinning（SSL固定）被广泛用于增强应用程序的安全性。本文将介绍什么是SSL Pinning，以及如何在iOS应用程序中实现它。
## 什么是SSL Pinning？
SSL Pinning是一种安全措施，用于防止中间人
# iOS SSL Pinning: A Comprehensive Guide
## Introduction
Secure Socket Layer (SSL) or Transport Layer Security (TLS) protocols are widely used in mobile applications to establish secure communication
ssl pining Welcome to this series of articles about Android Security and how you can improve tremendously the protection of your users, by implementing 3 things that provide a great effort/safety rat
在证书锁定SSL Pinning简介及用途文中我们介绍了SSL Pinning的概念和用途，和Android中的证书锁定一样，在IOS开发中，证书锁定也同样重要，通过内置证书公钥或证书以实现指定服务端与客户端通信的安全！IOS中主要有Swift原生开发和基于AFNetworking实现。1. 准备材料在证书锁定SSL Pinning简介及用途文中，我们以infinisign.com为
转载
2023-07-25 15:22:42
234阅读
0x00 前面如果你是一干Web安全的，当你在测试目前大多数的手机APP应用程序时，你一定遇到过burpsuite无法抓到数据包的情况，开始你以为只是https的问题，但是当你使用了burpsuite伪证书也无法抓取到时，你心里除了有句“MMP……”外，你一定也在思考这其中的蹊跷。 为什么https的网站使用伪证书可以抓到，而在app里面同样的方法就抓不到？答案是：app启用了SSL P
SSL pinning在构建一个高度安全的移动APP上扮演了一个十分重要的角色。好多用户在使用无线移动设备去访问无数不安全的无线网络。
SSL pinning在构建一个高度安全的移动APP上扮演了一个十分重要的角色。然而如今好多用户在使用无线移动设备去访问无数不安全的无线网络。 这篇文章主要覆盖了SSL pinning 技术，来帮助我们处理最常见的
转载
2023-06-19 16:13:51
120阅读
国内服务器绕过备案详细教程 国内服务器绕备案其实都是通过反代的方法来实现 1.首先我们了解到服务器的80端口与443端口web默认端口是：80SSL证书默认端口是：443国内服务器绑定域名后默认都是80 如果域名没有备案就会提示：未备案拦截！既然80、443端口绑定未备案域名会被拦截！那么我们就可以使用其它端口来实现访问！比如我们可以使用：81端口、123端口等等等等这里的端口你可以自定义即可！1
项目场景：这是一款金融类型的安卓app，有着root检测，与sslpinning校验，并且带有壳。下载的unpinning脚本根本行不通，接下来咱们看看该怎么去分析。众所知周，要分析一款app抓包只是第一步。偏偏是第一步就难倒不少人，本文只做知识要点记录，均会脱敏处理。大佬们轻喷问题描述一般来说我们拿到apk都迫不及待的装到手机上，立马开始抓包，结果就会和下图一样 Charl
# Android 绕过 SSL Pinning 证书校验实现流程
## 1. 介绍 SSL Pinning
SSL Pinning 是一种安全机制，用于防止中间人攻击。在 SSL/TLS 握手过程中，客户端会验证服务器返回的证书是否是可信的，并校验证书中的公钥是否与预期匹配。通常情况下，客户端会使用操作系统或者第三方库提供的证书信任链进行校验。然而，有时候我们希望绕过证书校验，例如在进行应用
0x01 前言随着移动应用的发展和推广，APP应用安全越来越受到重视。在APP中各类防抓包的机制的出现，让测试无法正常进行分析分析APP时都免不了抓包这一环节，想要抓到包就要看APP用的是什么通信协议。由于HTTP存在不安全性，当前大部分的APP基本采用HTTPS通信协议。许多时候安装 app 时 app 的自带证书就安置到了手机中，且此证书也存在在服务端，另外 app 的代码是开启了 SSL P
随意在安卓应用市场上下载了一个电子书app，发现还是有点东西的： Charles首次抓包报错如下： 第一反应就是有sslpinning，感觉挺简单的，但是几乎找了所有公开的unsslpinning脚本都无济于事， dump证书也如此。对apk解包时发现里面有okhttp3，以为使用了okhttp3库，但hook后发现并不如此。既然okhttp3 hook不到，就找了更深层次点的函数SS
随着互联网的发展，网站全面 https 化已经越来越被重视，做为 App 开发人员，从一开始就让 API 都走 SSL 也是十分必要的。但是光这样就足够了吗？ SSL 可以保护线上 API 数据不被篡改，但是防不了别有用心的发现你们 API，然后写脚本做一些事情。 Charles 的 SSL 代理
转载
2018-07-09 16:01:00
235阅读
0x01 前言Android 中的证书固定，Android WebView 中证书锁定，在Android 7.0 Nougat (SDK 24)开始才有的，在 Android 7.0 Nougat (SDK 24)之前，无论开发人员使用什么库，都无法真正管理 Webview 上的固定，因为Android 7.0 Nougat (SDK 24)的网络安全配置允许应用程序定义自己的规则集。为了不让攻击
一、开篇闲扯不知道该从哪个方面来写这10天的收获，但确切的说：这10天我收获很大，也暴露出自己潜在的一些问题。为了让看官更快的知道艺灵接下来要讲啥，所以我会把主要的东西简练成一句话放前面。至于后面的2千来字，全是回忆这10天我是怎么入坑爬坑，再入坑再爬坑以及自己是有多么的无知的过程。二、核心点SSL Pinning、App逆向反编译、用证书的密钥来解锁证书三、建议没错，整篇文章要讲的东西只用上面一
一个遇到的问题LeanCloud 的实时通信服务能实现类似客服机器人的功能，用户能自己提供一个 Web Hook 地址，有消息发给机器人的时候实时通信服务会将消息发到这个 Web Hook 上，用户从 Web Hook 收到消息之后能对消息进行解析和处理，构造出客服机器人的回答，再通过 REST API 发还给用户。从而用户能实现客服机器人自动应答功能。前些天，有个用户反馈说 Web Hook
目录一、什么是 SSL pingning二、解决方案三、注意事项四、下载地址五、夜神模拟器安装 Xposed & JustTruestMe1、安装 Xposed2、安装 JustTruestMe一、什么是 SSL pingning1、根据浏览器或者操作系统（Android）自带的证书链2、使用自签名证书3、自签名证书加上 SSL Pinging 特性SSL Pinging, 即 SSL 证
导航发现问题HTTPS中间人攻击ssl-pinning突破ssl-pinning总结 发现问题在使用charles对FaceBook/Twitter进行抓包时，所有的请求最终都失败了。第一感觉是手机上安装的HTTPS证书被删除了，到设置中检查发现证书没有问题，手机上其它APP的https请求也能够正常抓取。看来应该是碰到新情况了，Google了下，了解到FaceBook/Twitter等应用使用
转载
2023-08-22 22:40:42
0阅读
frida是一款基于python + java 的hook框架，可运行在android、ios、linux、win、osx等各平台，主要使用动态二进制插桩技术。frida官方地址https://frida.re/。有的APP会做一些奇怪的反代理检测，导致直接代理是抓不到APP的包的frida环境配置1、安装fridapip install frida2、安装frida-toolspip insta
SSLpinnig前言一、起步二、抓包三、分析四、验证第一种方法：第二种方法：借鉴 前言这题在抓包方面会有点小问题，但是最后结果是正确出来了，如果有了解后面这个问题的读者，请多指教，十分感谢。一、起步先打开APP，打开第五题，可以发现是一个双向认证的题目。二、抓包打开代理工具抓包设置一下于Charles的端口，我这里使用的代理工具是Brook。 代理打开后，访问第五题，会发现一直转不出来结果。
最近在做https双向认证的时候，遇到了各种证书、公钥、私钥、加密算法等问题。要想解决这些问题，首先应该先明确各自的概念到底是什么。SSL证书：SSL证书让网站实现加密传输、认证服务器的身份等等。我的理解：证书是服务器给客户端的凭证（不管是权威机构还是自己颁发的），你客户端只有信任了这个凭证你才能访问我的数据，否则就没得谈啊。证书应在你所用的网络请求框架中事先信任。客户端公私钥：客户端用自己的私钥
