告别HttpCanary！手把手教你用Python搭建Frida RPC服务器，实现Burp实时篡改加密请求

用Python构建Frida RPC网关Burp与移动端加密流量的深度交互方案移动应用安全测试中最令人头疼的莫过于遇到加密流量。当你发现HttpCanary能捕获请求而BurpSuite却束手无策时传统解决方案往往需要在多个工具间频繁切换效率低下。本文将带你用Python打造一个轻量级Frida RPC服务器建立Burp与移动端加密流量之间的双向通信通道实现实时请求/响应篡改的完整工作流。1. 为什么需要自定义RPC网关在金融类App测试中我们常遇到三种典型场景Burp无法直接捕获加密流量应用采用自定义SSL证书或非标准端口HttpCanary可见但不可改能查看加密报文但缺乏动态修改能力加解密逻辑在Native层Java层仅暴露接口实际算法在so库中传统解决方案存在明显局限工具抓包能力改包能力协议支持自动化程度BurpSuite★★★★★★★★★★★★★★★HttpCanary★★★★★★★★★★★Frida CLI★★★★★★★★★★★★★★★我们的Python RPC网关方案融合了三者优势保留Burp的拦截修改界面继承Frida的动态插桩能力同时通过Python实现协议转换和逻辑处理。这个架构的核心价值在于实时双向通信Burp界面修改能立即反映到移动端请求加解密黑盒处理自动完成JSON/二进制等格式转换跨平台支持同一套代码适配Android/iOS测试环境2. 核心架构设计整个系统由三个关键组件构成[移动端App] ←Frida→ [RPC网关] ←HTTP→ [BurpSuite]2.1 通信流程详解拦截阶段// Frida脚本示例 encryptParams.implementation function(json,signdata){ send(json.toString()); // 发送明文到RPC网关 var modified recv(send); // 等待Burp返回修改结果 return originalCall(modified, signdata); }传输阶段# Python网关路由处理 app.route(/hook, methods[POST]) def handle_hook(): raw_data request.data burp_response requests.post( http://127.0.0.1:8080, dataraw_data, proxies{http: http://127.0.0.1:8080} ) return burp_response.content修改阶段# 端口转发配置 adb forward tcp:27042 tcp:27042 # Frida调试端口 adb forward tcp:8889 tcp:8889 # RPC服务端口2.2 关键技术实现类型转换难题的解决方案当遇到Java JSONObject与Python dict之间的类型转换问题时推荐以下处理方式import json from jep import Jep # Java嵌入式Python def convert_to_java_json(py_dict): jep Jep() jep.eval(import org.json.JSONObject;) json_obj jep.invoke(JSONObject, json.dumps(py_dict)) return json_obj性能优化技巧使用gevent实现异步IO处理对加解密方法添加LRU缓存二进制数据采用Base64编码传输from functools import lru_cache import base64 lru_cache(maxsize1024) def cached_decrypt(data): # 实现带缓存的解密逻辑 return decrypt_result def handle_binary(data): return base64.b64encode(data).decode(utf-8)3. 完整实现步骤3.1 环境准备所需工具清单Python 3.8 安装以下包pip install frida-tools flask requests pyjniBurpSuite Community/ProfessionalFrida-server (匹配设备架构)ADB工具套件Android设备配置# 启用开发者选项 adb shell settings put global development_settings_enabled 1 # 推送frida-server adb push frida-server /data/local/tmp/ adb shell chmod 755 /data/local/tmp/frida-server adb shell /data/local/tmp/frida-server 3.2 服务端核心代码网关服务器(server.py)from flask import Flask, request, jsonify import requests app Flask(__name__) app.route(/hook, methods[POST]) def handle_hook(): try: # 将原始数据转发到Burp burp_response requests.post( http://127.0.0.1:8080, datarequest.data, headers{Content-Type: application/octet-stream}, proxies{http: http://127.0.0.1:8080} ) # 处理二进制响应 if burp_response.status_code 200: return burp_response.content, 200 else: return jsonify({error: Burp processing failed}), 500 except Exception as e: return jsonify({error: str(e)}), 500 if __name__ __main__: app.run(host0.0.0.0, port8889, threadedTrue)消息中转脚本(agent.py)import frida import sys import requests def on_message(message, data): if message[type] send: payload message[payload] try: # 转发到本地网关 response requests.post( http://127.0.0.1:8889/hook, datapayload.encode(utf-8) ) script.post({type: send, payload: response.text}) except Exception as e: print(fForward error: {str(e)}) # 加载Frida脚本 with open(hook.js, r) as f: hook_code f.read() device frida.get_usb_device() session device.attach(目标包名) script session.create_script(hook_code) script.on(message, on_message) script.load() sys.stdin.read()3.3 增强型Frida Hook脚本hook.jsJava.perform(function() { var encClass Java.use(com.secure.app.EncryptionManager); // 加密函数Hook encClass.encrypt.implementation function(data) { var original this.encrypt(data); send({type: encrypt, input: data, output: original}); var modified recv(function(value) { return value.payload; }); return this.encrypt(modified); }; // 解密函数Hook encClass.decrypt.implementation function(data) { var result this.decrypt(data); send({type: decrypt, input: data, output: result}); return result; }; });4. 高级调试技巧4.1 常见问题排查SSL Pinning绕过方案对比方法成功率复杂度适用场景Objection插件高低通用证书锁定Frida脚本替换中中自定义验证逻辑修改APK资源文件低高硬编码证书场景系统证书信任高中用户证书验证调试日志增强方案# 在网关代码中添加详细日志 import logging logging.basicConfig( levellogging.DEBUG, format%(asctime)s - %(name)s - %(levelname)s - %(message)s, handlers[ logging.FileHandler(gateway.log), logging.StreamHandler() ] )4.2 性能优化实践流量处理基准测试import timeit setup from server import handle_hook from flask.testing import FlaskClient app FlaskClient(app) print(timeit.timeit( app.post(/hook, datatest), setupsetup, number1000 ))内存优化建议使用memory_profiler分析内存泄漏对大文件采用流式处理定期清理缓存数据from memory_profiler import profile profile def handle_large_data(data): # 处理大内存操作 pass5. 安全测试实战案例在最新某银行App测试中我们发现其采用三层加密方案请求头RSA加密时间戳请求体AES-CBC加密业务数据签名HMAC-SHA256校验通过我们的RPC网关成功实现了实时修改交易金额重放授权令牌绕过业务逻辑校验关键Hook点示例// 拦截签名校验 signClass.verify.implementation function(data, sign) { // 总是返回验证成功 return true; };Burp插件扩展from burp import IBurpExtender, IHttpListener class BurpExtender(IBurpExtender, IHttpListener): def processHttpMessage(self, tool, isRequest, message): if isRequest and tool IBurpExtender.TOOL_PROXY: # 自动修改特定参数 request message.getRequest() modified request.replace(bamount100, bamount9999) message.setRequest(modified)