Connect Anti Fiddler Captuer Tags: iOS,Https,SSL,Fiddler,Capture Category: Tech

iOS https内容防止fiddler抓包

昨天老板给提了一个bug

“你的App虽然走了https来防止抓包，但是通过Fiddler还是可以进行中间人攻击，能不能解决？”

老板的需求能不解决＝。＝，开玩笑了

今天开始找资料

我所有的网络请求都是走的AFNetworking，找到很多AFNetworking使用AFSecurityPolicy来进行证书验证的文档。

HTTP请求的安全连接

这篇文章主要讲导入证书，然后去比较

AFNetworking 2.x 的SSL身份认证

这篇文章也是走的导入公钥进行比对

iOS安全系列之一：HTTPS

这篇文章讲了验证的步骤 1. 验证的信任对象 2. 使用系统默认验证方式验证Trust Object 3. 使用Trust Object生成一份凭证 4. 本地导入证书，验证Trust Object与导入的证书是否匹配 5. 根据结果去continue还是cancel

----- 分割线 ------

看了几篇文章，发现主要是讲证书信息导入到AFSecurityPolicy，然后将设置好的AFSecurityPolicy设置到AFHTTPRequestOperationManager的实例中，然后AFNetworking会自动处理。

但是我的网络框架中没有使用默认的AFHTTPRequestOperationManager来管理，使用的自己的NSOperationQueue来组织的。

后来想想AFNetworking底层也是走的NSURLConnicetion，那就研究一下NSURLConnicetion对Https的处理。

在NSURLConnicetion的- (void)connection:(NSURLConnection *)connection willSendRequestForAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge这个方法里。

当然AFNetworking里面的AFHTTPRequestOperation有一个blocksetWillSendRequestForAuthenticationChallengeBlock:^(NSURLConnection *connection, NSURLAuthenticationChallenge *challenge)

所以，只要NSURLConnicetion里面可以处理https证书就可以了。

----- 分割线 ------

先试试网上的方法

//1)获取trust object
SecTrustRef trust = challenge.protectionSpace.serverTrust;
SecTrustResultType result;

//注意：这里将之前导入的证书设置成下面验证的Trust Object的anchor certificate
SecTrustSetAnchorCertificates(trust, (__bridge CFArrayRef)self.trustedCertificates);

//2)SecTrustEvaluate会查找前面SecTrustSetAnchorCertificates设置的证书或者系统默认提供的证书，对trust进行验证
OSStatus status = SecTrustEvaluate(trust, &result);
if (status == errSecSuccess &&
    (result == kSecTrustResultProceed ||
    result == kSecTrustResultUnspecified)) {

    //3)验证成功，生成NSURLCredential凭证cred，告知challenge的sender使用这个凭证来继续连接
    NSURLCredential *cred = [NSURLCredential credentialForTrust:trust];
    [challenge.sender useCredential:cred forAuthenticationChallenge:challenge];

} else {

    //5)验证失败，取消这次验证流程
    [challenge.sender cancelAuthenticationChallenge:challenge];

}

结果还是可以用Fiddler来抓包，失败

看来这种方式还是没有成功＝。＝

继续

----- 分割线 ------

再尝试内置https公钥来处理，先想办法拿到公钥

找了一下，找到一个链接，这里

    SecTrustRef serverTrust = challenge.protectionSpace.serverTrust;
    SecCertificateRef certificate = SecTrustGetCertificateAtIndex(serverTrust, 0);
    NSData *remoteCertificateData = CFBridgingRelease(SecCertificateCopyData(certificate));
    NSLog(@"Remote Certificate Data Length: %ld",[remoteCertificateData length]);
    NSString * strPath = [NSString stringWithFormat:@"%@/cer.cer", DOCUMENTS_PATH];
    [remoteCertificateData writeToFile:strPath atomically:YES];

这样就将拿到的服务器的公钥写到本地了

然后将这个证书内置到工程里

依然在这个block里面做处理

只要比对这两个证书是否一致就好了

这次是可以了

但是。。。。。。。老板说，咱们的https证书8月份就过期了，到时候公钥就变了，需要更新版本才可以，有没有不内置公钥的办法

好吧，办法总比问题多，继续

----- 分割线 ------

尝试比对传过来的公钥的的CA

找了一下，找到一个链接，这里中的验证证书段落。

    if (_sslCACertificatieData) {
    // 根据二进制内容提取证书信息
    SecCertificateRef caRef = SecCertificateCreateWithData(NULL, (__bridge CFDataRef)_sslCACertificatieData);
    // 形成钥匙链
    NSArray * chain = [NSArray arrayWithObject:(__bridge id)(caRef)];

    CFTypeRef caChainArrayRef = CFBridgingRetain(chain);

    // 取出服务器证书
    SecTrustRef trust = [[challenge protectionSpace] serverTrust];

    SecTrustResultType trustResult = 0;
    // 设置为我们自有的CA证书钥匙连
    int err = SecTrustSetAnchorCertificates(trust, caChainArrayRef);
    if (err == noErr) {
        // 用CA证书验证服务器证书
        err = SecTrustEvaluate(trust, &trustResult);
    }
    // 检查结果
    BOOL trusted = (err == noErr) && ((trustResult == kSecTrustResultProceed) || (trustResult == kSecTrustResultUnspecified));

    if (trusted) {
        //3)验证成功，生成NSURLCredential凭证cred，告知challenge的sender使用这个凭证来继续连接
        NSURLCredential *cred = [NSURLCredential credentialForTrust:trust];
        [challenge.sender useCredential:cred forAuthenticationChallenge:challenge];
    }
    else
    {
        [challenge.sender cancelAuthenticationChallenge:challenge];
    }