[应用抓包] r0capture应用层通用抓包使用文档

一、工具脚本简介

• 仅限安卓平台，测试安卓真机7、8、9、10、11 可用 ；
• 无视所有证书校验或绑定，不用考虑任何证书的事情；
• 通杀TCP/IP四层模型中的应用层中的全部协议；
• 通杀协议包括：Http,WebSocket,Ftp,Xmpp,Imap,Smtp,Protobuf等等、以及它们的SSL版本；
• 通杀所有应用层框架，包括HttpUrlConnection、Okhttp1/3/4、Retrofit/Volley等等；
• (限制) 基于Java的虚拟机，暂未支持 flutter(开发框架)，flutter走的已经不是java的虚拟机了！

二、运行所需环境

Python环境 Frida框架 MT管理器 Adb工具 root的真机 Wireshark工具

三、脚本使用方式

安卓应用层抓包通杀脚本下载地址： https://github.com/r0ysue/r0capture
通过上面的链接下载脚本，并将文件复制到Pycharm中打开，根据代码中提示或报红安装所需要的库！

cmd 打开命令行后，通过执行下面的命令来安装配置frida与模拟器或真机互通，为后期的抓包做准备

安装firda： pip install frida Frida 下载地址

安装frida-tools： pip install frida-tools

连接手机或者mumu模拟器： adb connect 127.0.0.1:7555 （7555为mumu端口号，其它百度）

查找模拟器或者手机的CPU类型： adb shell getprop ro.product.cpu.abi

frida server 根据手机CPU型号下载合适的推送到手机 frida server 下载地址

我下载的是：frida-server-14.0.5-android-x86（需要解压缩成单文件之后推送手机）

将文件push 进手机的指定目录下： adb push frida-server-14.0.5-android-x86 /data/local/tmp/

进入手机端命令： adb shell

切换获取手机的root权限： su

查找文件是否在手机中： cd /data/local/tmp/

查看路径下的文件并看文件的权限： ls -l

拥有root权限更改文件的权限为777： chmod 777 frida-server-14.0.5-android-x86

在手机中启动运行该文件： ./frida-server-14.0.5-android-x86 &

电脑运行检查手机端服务是否开启成功： frida-ps -U

windows运行 端口转发到PC： adb forward tcp:27043 tcp:27043

点击查看：Frida Javascript Api

若文件推送错误，删除办法：

进入手机端命令： adb shell
切换获取手机的root权限： su
进入系统内指定文件夹： cd /data/local/tmp/
列表显示当前文件夹内容 ： ls
删除名字为xxx的文件夹及其里面的所有文件： rm -r xxx
删除文件指定文件xxx ： rm xxx

按照上面的命令直接一步步执行就行，因为我之前已经push过，这里就直接演示开启frida-server的命令，如果在检查的时候，发现没有开启，就去做一次端口的转发。开启过程如下图所示：

这里我使用Messenger V48版本为例来进行演示抓包，接下来就在模拟器上打开Messenger 软件(后期使用抓包脚本抓包时可以发现这个应用，对它进行抓包！)并使用MT管理器等逆向工具查看 Messenger 软件的包名！包名为：com.facebook.orca 如下图所示：

在要执行文件r0captue.py的上一级开启一个命令行或直接cd 到要执行的目录，如下图所示：

在开启的命令行中使用下面的两种方式的任意一种对Messenger抓包，建议使用Attach模式，从感兴趣的地方开始抓包，并且保存成pcap文件。

• Spawn 模式，直接抓包
  用法：python r0capture.py -U -f 包名

  python r0capture.py -U -f com.facebook.orca
  python r0capture.py -U com.coolapk.market
  python r0capture.py -U cn.kuwo.player
  python r0capture.py -U -f android.translate.xuedianba

• Attach 模式，将抓包内容保存成pcap格式文件
  用法： python r0capture.py -U 包名 -p 文件名.pcap

  python r0capture.py -U com.facebook.orca -p messenger.pcap
  python r0capture.py -U com.coolapk.market -p coolapk.pcap
  python r0capture.py -U cn.kuwo.player -p kuwo.pcap
  python r0capture.py -U android.translate.xuedianba -p xuedian.pcap

通过上面的方式将抓取到的pcap格式的文件通过Wireshark打开，选择里面的某条数据内容使用 分析->追踪流->分析抓包数据即可！如下图所示：

经过对抓包的数据进行分析，最终找到抓包Messenger登录的数据。如下图所示：