使用 Apple RVI Tool 实现 iOS 真机网络抓包

一、问题背景

对于 iOS 真机设备的 HTTP/HTTPS 网络抓包司空见惯，基本套路都是类似 Burp 的做法，提供一个代理，然后将 iOS 真机的网络代理设置为之前提供的代理，从而实现抓包。

但是对于底层（传输层及传输层以下）网络通讯的抓包，则需要 tcpdump 或者 Wireshark 来进行。而这两款工具都是通过分析流经指定网卡的数据包来实现的，这样就引出两个问题：

1、如何让 iOS 真机的数据流量流经指定的网卡？

2、如何在抓包时不改变原有网络链路？

二、常见解决方案及问题

1、将电脑的指定网卡配置为手机网络的网关

问题：

• 需要将电脑指定网卡配置成网关，比较繁琐。Windows 较容易实现，但 macOS 的无线网卡无法同时作为 WiFi 和网络热点使用，所以不太方便。
• 会改变实际网络访问的链路
• 只能应用于局域网，无法用于蜂窝网络

2、在电脑上提供代理服务器

这个思路与 HTTP/HTTPS 抓包的方式差不多，也确实能将 iOS 真机的网络流量引导。

问题：

• 对于 iOS 设备上不遵循系统代理设置的应用无法实现抓包
• 虽然能抓到数据，但原计划访问的目标网络的数据包，目标地址会变为代理服务器地址，导致影响抓包分析
• 会改变实际网络访问的链路
• 只能应用于局域网，无法用于蜂窝网络

三、推荐方案

1、Remote Virtual Interface Tool 介绍

使用苹果提供的 Remote Virtual Interface Tool。

rvictl [-h][-l][-s  ... ][-x  ... ]

Remote Virtual Interface Tool starts and stops a remote packet capture instance
for any set of attached mobile devices. It can also provide feedback on any attached
devices that are currently relaying packets back to this host.

Options:
    -l, -L      List currently active devices
    -s, -S      Start a device or set of devices
    -x, -X      Stop a device or set of devices

rvictl version 1.2

iOS 5 开始，Apple 引入了 RVI（Remote Virtual Interface Tool）特性，它只需要将 iOS 设备使用 USB 数据线连接到 Mac 上，然后使用 rvictl 工具以 iOS 设备的 UDID 为参数，在 Mac 中建立一个虚拟网络接口 RVI，就可以在 Mac 设备上使用 tcpdump、Wireshark 等工具对创建的接口进行抓包分析了。

这种流量分析方法，是直接捕捉的 iOS 设备上的网络流量，因此对于各种网络类型，如：WiFi、蜂窝网路都可以捕捉到，也不需要 Mac 与 iOS 设备处于同一个网段。

根据文档描述，这种方法并不会改变网络访问链路，规避了抓包时访问链路与原始访问链路不一致，导致场景差异引发的分析偏差。

2、使用步骤

（1）将 iOS 设备连接到 Mac，并通过 Finder 查看 iOS 设备的 UDID

（2）创建 RVI

rvictl -s 

（3）使用 tcpdump 或者 Wireshark 进行网络抓包分析

（4）移除 RVI

rvictl -x 

3、遗留问题

此方法只适用于 iOS 真机配合 Mac 的场景，对于 Android 设备，暂时还需要使用原来配置网关的方案。

五、参考资料

• Recording a Packet Trace

https://developer.apple.com/documentation/network/recording_a_packet_trace?language=objc

• Remote Packet Capture for iOS devices

https://useyourloaf.com/blog/remote-packet-capture-for-ios-devices/

（完）