背景

目前很多地区的大学都已经在有条不紊的开学了，其他学校的同学们都忙着拍毕业照片，按期参加毕业典礼，享受着最后的大学时光。然而我的大学却因为卫生不合格，不能开学，眼瞅着就要毕业了，想想在家云毕业心里就很憋屈。从疫情爆发开始，学校就让我们每天都使用XX校园app打卡登记健康情况与位置信息，既然学校不让我们回去，我就在想能不能通过修改位置信息来实现云返校。这确实是一个很奇怪的动机，可能是逆反心理作祟吧。

尝试抓包

既然是位置信息差不多应该是使用了第三方网络接口来获取的，最后再提交到服务端。既然如此，我就先尝试用Charles抓包一下试试。这里如何使用Charles解析HTTPS数据包我就不多说了，网上教程一搜一大把

在安装完证书并设置代理后，再次打开应用时发现抓包失败了，说明应用本身应该是做了证书校验。可以使用Xposed的JustTrustMe来跳过证书校验，JustTrustMe简单的来说就是Hook所有证书校验API，通过篡改数据来跳过证书校验过程。这样的话，想要抓包就必须要把手机Root了，并需要安装Xposed和JustTrustMe，而且高版本Android手机可能系统API都已更改了不能进行Hook，很是不爽。

出于学习目的，这篇文章将继续分析，看看能不能不使用Hook手段来完成跳过证书校验过程。
看来想要解决这件事情必然是要对整个应用进行逆向分析了。

逆向分析

这里可以简单说明一下，apk文件其实是一个zip格式数据压缩包，解压后存在三类二进制文件：Dex文件、AndroidManifest文件与ARSC文件。其中Dex文件记录了项目中项目Java层逻辑，AndroidManifest文件则对应项目中的AndroidManifest文件，ARSC文件则记录了项目中的所有资源。现有的apktool工具以及jadx均是根据文件的格式文档来对这些文件进行二进制逆向解析。不同的是Jadx使用ASM技术动态生成Java字节码便于对项目代码逻辑进行分析, 分析java代码可比smali代码容易多了
这里我使用jadx功能对apk文件进行逆向解析

惊奇的发现这个应用并没有加壳保护，源码也没有进行混淆，丝毫没有安全意识。我们首先对AndroidManifest.xml文件进行分析修改

首先把调试开关打开，方便后续进行动态调试
修改完成后回编译，重新签名
这里签名使用的是jarsigner工具，数字指纹是自己用keytool生成的，具体流程网上也是一搜一大把。重新签名之后，将原来的app卸载重新安装，替换新的公钥

可以进行动态调试了

证书校验

证书校验的API还是比较多的，但是一般都会将自己所信任的校验证书存放本地，等待创建HTTP请求实例时动态读取进行装载，这也为我们进行逆向分析提供了一个很好的思路，首先我在项目文件夹中搜索cer看看有什么有用信息

居然发现了一个文件夹叫做cacertList，我们进入这个文件夹看看里面有什么

可以看到这里有一堆以hash_name.0命名的文件，这个其实是.pem格式证书的命名方法。前面的hash_name是使用hash算法计算得到的，可以使用openssl来计算生成(后面会介绍)。可以猜测这里应该存放着项目所有信任的所有证书。为了验证这个问题，我在项目中搜索cacertList看看能不能获得什么有价值的信息

这里会遍历读取这个文件中的所有文件，然后将每个文件的字节数组存放到一个名为CERTIFICATES_DATA的List中，我们可以继续看看这个List在哪里会被读取



可以看到，在所有创建okHttp请求实例时都会装载这个文件夹的证书内容，为了确保分析的准确，接下来进行动态调试。我们在读取证书时加断点，看看什么时机会进行读取。

当我点击应用时第一时间就被断点拦截了，可以猜测应该这里就是信任证书存放位置，接下来就好操作了，我把charles证书放到里面然后回编译重新签名就可以了。

这里可以看到，抓包成功了，成功绕过了证书校验，接下来就是篡改位置信息了。

未完待续～～～