一种监控Android的TLS流量的方法

Question

我想说我想要监控Android应用程序发送的流量，因为我不信任它，或者我想看看它是否向其服务器发送了不需要的数据。有什么办法吗？即使我必须将.apk运行到模拟器或将电缆插入我的android，我需要的是能够以某种方式看到应用程序内的流量。或者至少是一种获取客户端和服务器之间密钥的方法，然后通过wireshark监控流量并解密所有内容。你们知道吗？

我已经读过java不能直接实现RSA算法但是它的许可VM执行者可以，所以有没有办法将密钥用于在android中运行的openssl进程？ （我认为它是如何运作的）

Answer 1

不确定。你需要的是一个MITM代理，比如BurpSuite。您安装代理工具的证书颁发机构，并使其成为您设备的HTTP代理。然后，它将为设备访问的所有站点动态生成新证书并捕获流量。如果应用程序采取额外的步骤（例如证书固定），这可能会失败，但它通常会很好地完成。