Https Traffic

In molti casi, è più pratico configurare un proxy di sistema sul dispositivo mobile, in modo che il traffico HTTP(S) venga reindirizzato tramite un proxy di intercettazione in esecuzione sul computer host. Monitorando le richieste tra il client dell'app mobile e il back-end, puoi facilmente mappare le API lato server disponibili e ottenere informazioni dettagliate sul protocollo di comunicazione. Inoltre, puoi riprodurre e manipolare le richieste per testare le vulnerabilità lato server.

Sono disponibili diversi strumenti proxy gratuiti e commerciali. Ecco alcuni dei più popolari:

1) Suite di rutti

2) OWASP ZAP

Per utilizzare il proxy di intercettazione, dovrai eseguirlo sul tuo computer host e configurare l'app mobile per instradare le richieste HTTP(S) al tuo proxy. Nella maggior parte dei casi, è sufficiente impostare un proxy a livello di sistema nelle impostazioni di rete del dispositivo mobile: se l'app utilizza API HTTP standard o librerie popolari come okhttp, utilizzerà automaticamente le impostazioni di sistema.

L'utilizzo di un proxy interrompe la verifica del certificato SSL e l'app di solito non riesce ad avviare le connessioni TLS. Per aggirare questo problema, puoi installare il certificato CA del tuo proxy nel dispositivo.

Intercettazione del traffico HTTP(S).