Pinning

Bulletproof SSL and TLS（读书笔记）

UnderstandingandDeployingSSLTLSandPKItoSecureServersandWebApplications目录1SSL，TLS和密码学2协议3PKI4针对PKI的攻击5HTTP和浏览器话题6实现话题7针对协议的攻击8部署9性能优化10HSTS、CSP和Pinning11OpenSSL12
志_祥·2020-08-05 10:02

DRM的GEM

设备相关操作如指令执行、pinning、buffer读写、映射、域所有权的转移等，还是归设备驱动的ioctl。
杨枫_mind·2020-07-13 23:50

Certificate Pinning是如何工作的？

CertificatePinning是什么，有什么用？CertificatePinning，或者有叫作SSLPinning/TLSPinning的，都是指的同一个东西，中文翻译成证书锁定，最大的作用就是用来抵御针对CA的攻击。在实际当中，它一般被用来阻止man-in-the-middle（中间人攻击）。说起中间人攻击，可能不是那么直观，但是这一类工具我们可能经常会用到，如Mac平台的Charles
FIMH·2020-07-11 14:19

Certificate_and_Public_Key_Pinning

在实际项目代码审计中发现，目前很多手机银行虽然使用了https通信方式，但是只是简单的调用而已，并未对SSL证书有效性做验证。在攻击者看来，这种漏洞让https形同虚设，可以轻易获取手机用户的明文通信信息。手机银行开发人员在开发过程中为了解决ssl证书报错的问题（使用了自己生成了证书后，客户端发现证书无法与系统可信根CA形成信任链，出现了CertificateException等异常。），会在客户
longwuxu·2020-07-11 11:14

SSLPinning简介，使用Xposed+JustTrustMe来突破SSL Pinning

0x00前面如果你是一干Web安全的，当你在测试目前大多数的手机APP应用程序时，你一定遇到过burpsuite无法抓到数据包的情况，开始你以为只是https的问题，但是当你使用了burpsuite伪证书也无法抓取到时，你心里除了有句“MMP……”外，你一定也在思考这其中的蹊跷。为什么https的网站使用伪证书可以抓到，而在app里面同样的方法就抓不到？答案是：app启用了SSLPinning（又
weixin_30251587·2020-07-08 13:31

Android 7.0+抓包https突破ssl-pinning方案

一、背景Android7.0之后增加了对第三方证书的限制，抓包工具（charles、fiddler等）提供的证书都无法通过校验，也就无法抓取HTTPS请求了。解决该问题一般思路：将设备root，将证书安装到system分区。利用Xposed框架，利用justTrustme/SSL-killer等模块绕过第三方ssl的校验。二、virtualXposed简介经常折腾Android刷机的同学应该都知道
小百菜·2020-07-08 11:39

使用Xposed+JustTrustMe突破SSL Pinning验证

1.前言1.遇到的问题之前在做app渗透测试的时候遇到一个问题，就是我使用burpsuite对app进行抓包时，app一直显示网络请求失败(如图1.1-1)，不能进行正常的操作，burp也抓不到数据包，但是不挂代理进行正常访问又可以。一开始以为是https的证书问题，就把burp的证书重装了一遍，发现问题仍然存在，但是我抓取浏览器和其他的app程序就能正常抓到数据包，一时间慌的不行，以为凉了。通过
SunJ3t·2020-07-08 06:54

使用Frida绕过Android App的SSL Pinning

作者原文传送littleywww.littley.top简介证书锁定（Certificatepinning）是远程服务器在应用程序本身中信任的硬编码证书，因此它将忽略设备证书存储，并将信任自己的硬编码证书，进一步的应用程序将使用该硬编码证书“安全地”与远程服务器通信。环境需求windows10Android虚拟机（或真机）（本文采用的mumu模拟器）安装adb驱动安装frida（python为3.
rgwu·2020-07-07 16:19

通用的使用Frida旁路Android SSL Pinning

/*AndroidSSLRe-pinningfridascriptv0.2030417-pier$adbpushburpca-cert-der.crt/data/local/tmp/cert-der.crt$frida-U-fit.app.mobile-lfrida-android-repinning.js--no-pausehttps://techblog.mediaservice.net/20
小龙在山东·2020-07-07 13:37

用 JustTrustMe 干翻 SSL Pinning: 爬尤美 app 付费视频(app.youmei.com)

引子基友推荐一款在线看片app,寻思给爬一下视频链接爽一哈,本文记录了采集全过程踩点直接打开app,挂上fiddler代理,设置好SSL证书开搞结果发现啥都抓不到,fiddler显示HTTPS请求鉴权失败当时就陷入沉思,用浏览器打开HTTPS网页是正常,为啥进APP了就不行呢经过一番搜索之后猜测是高版本安卓SDK默认取消信任用户导入的证书https://stackoverflow.com/ques
hldh214·2020-07-07 09:22

如何使用Xposed+JustTrustMe来突破SSL Pinning

如何使用Xposed+JustTrustMe来突破SSLPinning本文由看雪论坛etlpom原创，原文链接：https://bbs.pediy.com/thread-226435.htm0x00前面如果你是一干Web安全的，当你在测试目前大多数的手机APP应用程序时，你一定遇到过burpsuite无法抓到数据包的情况，开始你以为只是https的问题，但是当你使用了burpsuite伪证书也无法
iqiqiya·2020-07-06 20:24

Windows全版本本地提权(CVE-2020-0787)

APK中获取信息grep -EHirn"accesskey|admin|aes|api_key|apikey|checkClientTrusted|crypt|http:|https:|password|pinning
shuteer_xu·2020-07-05 12:28

Working With NUMA/CPU Pinning

WorkingWithNUMA/CPUPinningSep8th,201611:06am|CommentsThetermCPUpinning/processaffinity/NUMAgenerallyboilsdowntothesameideathatInamultisocketsystem,applicationbestperformancecanbeachievedbyallowingappl
ganggexiongqi·2020-07-04 16:10

使用 Charles 解决部分App无法上网的问题（SSL Pinning）

设置好Charles代理之后发现打开目标Appdebug的时候弹窗“网络异常”提醒，测试Safari正常和其他App发现大部分都可以打开。Google之后发现这是因为该App使用了SSLPinning的原因。SSLPinning意味着App拷贝了一份服务器的公钥在本地，在进行网络连接的时候使用了本地的公钥进行加密了。由于Charles的密钥无法匹配导致拒接网络访问。那么有没有什么办法可以突破这种限
Hi_Aaron·2020-07-01 19:11

用夜神模拟器进行app抓包，针对cert pinning的issue

A开启fiddler默认修改了IE的代理设置并把自己作为代理开启burpsuite，不修改IE代理，只是把自己作为代理，所以要抓那个程序或者系统的包，需要把代理设置为burpsuite的代理地址和端口。B证书锁定CertificatePinning技术在中间人攻击中，攻击主机通常截断客户端和服务器的加密通信。攻击机以自己的证书替代服务器发给客户端的证书。通常，客户端不会验证该证书，直接接受该证书，
iihacker_cat·2020-06-30 00:36

利用Frida绕过Android App（途牛apk）的SSL Pinning

0x00前言做APP测试过程中，使用burp无法抓到数据包或提示网络错误可能是因为APP启用了SSLPinning，刚好最近接触到途牛apk就是这种情况，于是便有了本文。0x01SSLPinning原理SSLPinning即证书锁定，将服务器提供的SSL/TLS证书内置到移动端开发的APP客户端中，当客户端发起请求时，通过比对内置的证书和服务器端证书的内容，以确定这个连接的合法性。0x02环境Wi
小白白@·2020-06-29 14:52

利用Xposed+JustTrustMe绕过Android App（途牛apk）的SSL Pinning

0x00前言前面写了一篇利用Frida绕过AndroidApp（途牛apk）的SSLPinning，这里来记录一下利用Xposed+JustTrustMe来绕过SSLPinning，这种方法相比前一种用起来更简单容易上手。0x01环境夜神模拟器（Android5.1）XposedXposed框架是一款开源框架，其功能是可以在不修改APK的情况下影响程序运行(修改系统)的框架服务，基于它可以制作出许
小白白@·2020-06-29 14:52

SSL Pinning 加密app的处理

SSLPinning加密app的处理使用抓包软件代理时，访问服务器证书被抓包软件接受后重新发出的证书已经变了，加密app发现证书变了之后就会给出如下响应：app：页面无法显示抓包工具：抓不到HTTPS的网页。只有一些无效的网页，connection连接，或者全是图片。处理方式：麻烦的方法：https://zhuanlan.zhihu.com/p/56397466xposed+justtrustme
wenqiang su·2020-06-29 06:53

使用frida绕过安卓ssl pinning

目录一、背景二、客户端证书处理逻辑分类三、sslpinning原理四、frida绕过安卓sslpinning1.绕过原理2.使用工具Fridaroot设备/模拟器adb注入脚本3.绕过过程0x01安装Frida0x02准备burpsuite证书0x03准备注入脚本0x04利用脚本注入五、后记一、背景安卓安全测试中，其中一个维度测试就是服务端业务逻辑安全性测试，主要通过抓包实现。其实说白了就是中间人
ATpiu·2020-06-27 11:13

如何使用SSL pinning来使你的iOS APP更加安全

原文链接：https://www.cnblogs.com/zhanggui/p/5754977.html如何使用SSLpinning来使你的iOSAPP更加安全SSLpinning在构建一个高度安全的移动APP上扮演了一个十分重要的角色。然而如今好多用户在使用无线移动设备去访问无数不安全的无线网络。这篇文章主要覆盖了SSLpinning技术，来帮助我们处理最常见的安全攻击--中间人攻击（MITM）
rigous·2020-06-26 05:01

夜神模拟器+Xposed框架+JustTrustMe（用来禁用、绕过 SSL 证书检查）来突破SSL Pinning

参考地址：https://bbs.pediy.com/thread-226435.htm本文所有资料包下载地址:百度网盘链接已更新至永久链接:https://pan.baidu.com/s/1t7C8X_fH8SQP5dy-EJ04og提取码:pe6z1.夜神模拟器官网下载安装模拟器2.创建一个安卓5.1版本的模拟器3.把xposed.apk拖入夜神模拟器（Android5.1.版本，xposed
sort浅忆·2020-06-24 00:43

SSL Pinning技术------提高iOS网络安全性

简述最近在看网络框架时，理解了下网络框架中使用到的安全技术。在苹果将要强制开发者使用HTTPS的环境下，如何提高HTTPS的安全性将成为重点。通过一段时间的学习，阅读了一些文章，融合了自己对SSLPinning的理解，在此做个总结，也为自己做个备份，如有不正确或者不恰当的地方欢迎指正！使用背景在开发手机应用时，如何正确的使用HTTPS来提高网络传输的安全性是尤为重要的。HTTPS协议本使用了SSL
懒人09·2020-06-23 19:22

手机app抓包https请求信息,解决SSL Pinning验证

抓包工具:Charles,fiddler,wireshark其中,前两个用于抓取https请求,wireshark则是包含tcp/udp在内的所有请求,本文中以Charles为例或者移动端(Android)安装:packetcapturepacketcapture安装使用教程:https://mp.weixin.qq.com/s/JxJWZk-uMMjLcLQFTQ7thA?Charles安装配置
云雾半间·2020-06-22 09:54

In order to validate a domain name for self signed certificates, you MUST use pinning

这是AFNetWorking使用自签证书时出现的问题。allowInvalidCertificates这个属性为YES的话是验证自建证书，但是像我们公司有钱，花钱整得https的话就NO喽。/**这个方法真的很好，减少了网络创建的TCP的三次握手，直接复用TCP的链接*所有的HTTP请求共享一个AFHTTPSessionManager,原理参考地址:http://www.jianshu.com/p
BetterComingDay·2020-04-01 16:25

高性能-GC3

避免对象固定对象固定（Pinning）是为了能够安全地将托管内存的引用传递给本机代码，最常见的用处就是传递数组和字符串。如果不与本机代码进行交互，就完全不应该有对象固定的需求。
梦一回·2020-03-27 22:00

Android SSL Certificate Pinning

http://www.mobilephonedevelopment.com/archives/1762http://www.tuicool.com/articles/2MVJb2在SSL/TLS通信中，客户端通过数字证书判断服务器是否可信，并采用证书的公钥与服务器进行加密通信。然而，在开发者在代码中不检查服务器证书的有效性，或选择接受所有的证书时，这种做法可能导致的问题是中间人攻击。攻击者可以伪造
Kurtis·2020-03-08 09:19

In order to validate a domain name for self signed certificates, you MUST use pinning，AFNetWorking使用自签证书时出现问题

Inordertovalidateadomainnameforselfsignedcertificates,youMUSTusepinning，AFNetWorking使用自签证书时出现问题。上述问题的解决方法：//如果是需要验证自建证书，需要设置为YESsecurityPoliy.allowInvalidCertificates=YES;securityPoliy.validatesDomain
冥冥之中远_·2020-02-26 22:16

如何使用Xposed+JustTrustMe来突破SSL Pinning

0x00前面如果你是一干Web安全的，当你在测试目前大多数的手机APP应用程序时，你一定遇到过burpsuite无法抓到数据包的情况，开始你以为只是https的问题，但是当你使用了burpsuite伪证书也无法抓取到时，你心里除了有句“MMP……”外，你一定也在思考这其中的蹊跷。为什么https的网站使用伪证书可以抓到，而在app里面同样的方法就抓不到？答案是：app启用了SSLPinning（又
看雪学院·2020-02-07 00:59

SSL Pinning 的锅~!....

简单的HTTPS抓包都会用,就不说了,无论Fiddler还是Charles都很简单,关于部分抓不到的,是因为代码中开启了SSLPinning针对于iOS开发来说,这篇文章关于AF设置SSLPinning,个人没有经历过这种开发,不是很了解,取证困难,使用简单哈哈哈哈哈想要抓取SSLPinning的包,需要手机越狱,越狱后在Cydia中添加以下插件DebianPackagerCydiaSubstra
游城十代2dai·2020-01-03 03:52

Copying and pinning

译：CopyingandpinningGC可能随时决定它需要对垃圾收集的堆做压缩工作。压缩涉及将一个对象物理地从一个地址转移到另一个地址。这些对象可能被一个JNI本地引用或者全局引用所持有。为了使得压缩安全的进行，JNI的引用不会直接指向堆。至少有一个间接层将本地代码和对象移动隔离开来。如果本地代码需要对一个对象内部直接寻址，解决方案会是十分复杂。直接对堆进行寻址或者固定堆，通常是因为你需要按照一
leiiiooo·2019-12-30 08:14

APP安全机制（十七） —— 阻止使用SSL Pinning 和 Alamofire的中间人攻击（一）

版本记录版本号时间V1.02019.06.07星期五前言在这个信息爆炸的年代，特别是一些敏感的行业，比如金融业和银行卡相关等等，这都对app的安全机制有更高的需求，很多大公司都有安全部门，用于检测自己产品的安全性，但是及时是这样，安全问题仍然被不断曝出，接下来几篇我们主要说一下app的安全机制。感兴趣的看我上面几篇。1.APP安全机制（一）——几种和安全性有关的情况2.APP安全机制（二）——使用
刀客传奇·2019-12-27 10:13

破解ssl pinning 抓APP的https数据包

问题描述：所有fiddler的证书都安装了，手机上面的证书也安装了，并且能抓到浏览器中百度的网页（百度的请求是https的，如果能抓到说明前期的证书没有问题了）。但是没有办法抓某些APP的数据包，具体描述是：打开手机代理后APP无法连接网络。问题原因：要对HTTPS解密，但是app采用sslpinning验证证书或公钥，就导致无法用fiddler或charles或sslplit等中间人劫持工具（伪
乔儿·2019-12-06 16:00

防止抓包 - ssl pinning

使用AFNetworking和SSL绑定实现安全连接1.SSLPinningSSLpinning,即证书绑定.通过SSL证书绑定来验证服务器身份,防止应用被抓包.2.获取证书客户端需要配置证书.cer..pem转.ceropensslx509-informPEM-inname.pem-outformDER-outname.cer.crt转.ceropensslx509-inname.crt-out
reboot_q·2019-12-02 01:17

IPFS 目录

第1章：安装和初始化IPFS下载和安装IPFS初始化IPFS仓库第2章:IPFS中的文件简介上传文件到IPFS并检索打包有关内容的文件名与目录信息Pinning--告诉IPFS保留文件第3章：网络在线-
简闻·2019-12-01 03:09

攻破SSL Pinning, 实现抓包

需要通过越狱手机安装插件来hookSSLPinning配置.DebianPackagerCydiaSubstratePreferenceLoaderssl-kill-switch2ssh连接手机将下载好的.debcopy到越狱手机中安装dpkg-icom.nablac0d3.sslkillswitch2_0.12.debkillall-HUPSpringBoardimage.png到此配置完成,可
reboot_q·2019-11-30 04:18

有关ssl-pinning的总结

看来应该是碰到新情况了，Google了下，了解到FaceBook/Twitter等应用使用了一种名叫ssl-pinning的技术来防止中间人攻击。HTTPShttp与https这
秦砖·2019-11-29 11:31

Certificate Pinning是如何工作的？

CertificatePinning是什么，有什么用?CertificatePinning，或者有叫作SSLPinning/TLSPinning的，都是指的同一个东西，中文翻译成证书锁定，最大的作用就是用来抵御针对CA工击。在实际当中，它一般被用来阻止man-in-the-middle(中间人工击)。说起中间人工击，可能不是那么直观，但是这一类工具我们可能经常会用到，如Mac平台的Charles和
千锋IJava·2019-11-12 15:53

证书锁定SSL/TLS Pinning

这涉及ssl-pinning，证书锁定。
AmyZYX·2019-11-11 21:00

AFNetworking + SSL Pinning

虽然使用了HTTPS协议进行通信，但我们的网络仍然可以被嗅探监听。我们可以采取SSLPinning的方式来避免这种事情发生。使用AFNetworking和SSL绑定实现安全连接。SSLPinningSSLPinning，即SSL证书绑定。通过SSL证书绑定来验证服务器身份，防止应用被抓包。取到证书客户端需要证书(Certificationfile)，.cer格式的文件。可以跟服务器端索取。如果他们
专治齐天大圣·2019-11-03 03:29

In order to validate a domain name for self signed certificates, you MUST use pinning

解决办法：sinceyouhavemanagerinitialized,youcando:manager.securityPolicy.allowInvalidCertificates=YES;manager.securityPolicy.validatesDomainName=NO;anditwillworkforaself-signedcertificate链接地址：http://stacko
ocarol·2019-11-02 09:24

Intel Optane™ Memory Pinning 无法加载DLL"iaStorAfsServiceApi.dll"解决方式

IntelOptane™MemoryPinning无法加载DLL"iaStorAfsServiceApi.dll":找不到指定模块。(异常来自HRESULT:0x8007007E)。昨天更新win10。更新完发现右键点击任何文件夹都会出现下图这个异常，烦不胜烦，解决办法如下：首先确定版本。按下windows+R，然后输入winver。我的系统版本是1903版确认版本后，右键开始菜单——应用与功能，
蒲建建·2019-09-07 09:57

在ubuntu上安装rabbitMq

官网提供的安装方法https://www.rabbitmq.com/install-debian.html#apt-pinning安装erlang首先安装erlang，使用的是erlang-21.x版本添加存储库签名密钥通过
csdn_THISISME·2019-06-21 15:08

在ubuntu上安装rabbitMq

官网提供的安装方法https://www.rabbitmq.com/install-debian.html#apt-pinning安装erlang首先安装erlang，使用的是erlang-21.x版本添加存储库签名密钥通过
csdn_THISISME·2019-06-21 15:08

iOS 集成 SSL Pinning

一、SSLPinning简介1、使用背景在开发手机应用时，如何正确的使用HTTPS来提高网络传输的安全性是尤为重要的。HTTPS协议本使用了SSL加密传输，相比HTTP但依然存在极大的安全隐患----中间人攻击。SSL解决了内容的加密的问题，但是SSL过程中是依靠证书进行验证的，这就需要保证证书绝对的安全。先立一个小目标（伪造证书），万一实现了呢？在立一个小目标（伪造服务器），万一实现了呢？事实证
张聪2019·2019-05-23 15:49

iOS 集成 SSL Pinning

一、SSLPinning简介1、使用背景在开发手机应用时，如何正确的使用HTTPS来提高网络传输的安全性是尤为重要的。HTTPS协议本使用了SSL加密传输，相比HTTP但依然存在极大的安全隐患----中间人攻击。SSL解决了内容的加密的问题，但是SSL过程中是依靠证书进行验证的，这就需要保证证书绝对的安全。先立一个小目标（伪造证书），万一实现了呢？在立一个小目标（伪造服务器），万一实现了呢？事实证
张聪2019·2019-05-23 15:49

FaceBook体系应用抓包

引子前面写过一篇有关ssl-pinning的文章，里面具体介绍了应用阻止中间人攻击的ssl-pinning方案与反制该方案的方案。但是这篇文章在面对FaceBook体系的应用时就不在适用了。
秦砖·2019-05-18 00:18

Android SSL Pinning(防止中间人攻击)

https://developer.android.com/training/articles/security-ssl.html#Pinning通过名称为证书固定的技术，应用可以更好地保护自己免受以欺诈方式发放的证书的攻击
城平京·2019-05-17 11:44

证书链和TLS Pinning

摘自HTTPS精读之TLS证书校验这篇讲证书校验，写得很好。HTTPS的交互过程1.浏览器对服务器发送了一次请求，包含协议版本号、一个客户端生成的随机数（Clientrandom），以及客户端支持的加密方法。2.服务器确认双方使用的加密方法，并给出数字证书、以及一个服务器生成的随机数（Serverrandom）。3.浏览器确认数字证书有效，然后生成一个新的随机数（Premastersecret），
Kenny_Ye·2019-05-14 16:21

Retrofit/OkHttp 设置 SSL Pinning

简介众所周知，网络访问如果不做加密的话，请求数据很容易被抓包工具获取，从而造成安全隐患。所以，这里我们用到了SSLPining使用#方法一OkHttp提供了一个CertificatePinner类可以方便的设置SSLPinning。OkHttpOkHttpClientmOkHttpClient=newOkHttpClient.Builder().addNetworkInterceptor(newH
FelixLiuu·2017-10-18 17:47

Retrofit 2.0 支持Https传输

添加证书Pinning证书可以在自定义的OkHttpClient加入certificatePinner实现OkHttpClientclient=newOkHttpClient.Builder() .certificatePinner
jdsjlzx·2016-08-08 16:00
上一页 1 2 3 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他