Https Traffic

En muchos casos, lo más práctico es configurar un proxy del sistema en el dispositivo móvil, de modo que el tráfico HTTP(S) se redirija a través de un proxy de intercepción que se ejecuta en su computadora host. Al monitorear las solicitudes entre el cliente de la aplicación móvil y el backend, puede mapear fácilmente las API del lado del servidor disponibles y obtener información sobre el protocolo de comunicación. Además, puede reproducir y manipular solicitudes para probar vulnerabilidades del lado del servidor.

Hay varias herramientas de proxy gratuitas y comerciales disponibles. Estos son algunos de los más populares:

1) Suite de eructos

2) ZAP DE OWASP

Para usar el proxy de intercepción, deberá ejecutarlo en su computadora host y configurar la aplicación móvil para enrutar las solicitudes HTTP(S) a su proxy. En la mayoría de los casos, es suficiente configurar un proxy para todo el sistema en la configuración de red del dispositivo móvil; si la aplicación usa API HTTP estándar o bibliotecas populares como okhttp, usará automáticamente la configuración del sistema.

El uso de un proxy interrumpe la verificación del certificado SSL y, por lo general, la aplicación no podrá iniciar las conexiones TLS. Para solucionar este problema, puede instalar el certificado CA de su proxy en el dispositivo.

Interceptar tráfico HTTP(S)