安卓7.0及以上版本抓包https失敗解決方法

現象

android7.0以上的手機https抓包失敗(安裝了https證書也不行)

原因

android7.0+的版本新增了證書驗證(系統證書)

解決辦法

前提:在手機端和電腦端都必須安裝https的安全證書
配置:打測試包時,項目設置默認信任所有證書(系統+用戶)
1.在工程res-xml目錄中創建一個名爲 network_security_config.xml的文件,文件內容如下:

<network-security-config>
    <base-config cleartextTrafficPermitted="true">
        <trust-anchors>
            <certificates src="system" overridePins="true" />
            <certificates src="user" overridePins="true" />
        </trust-anchors>
    </base-config>
</network-security-config>

2.在AndroidManifest裏的標籤中,添加如下代碼:

android:networkSecurityConfig="@xml/network_security_config"

重新打包項目,然後抓包,即可成功。

webview抓包失敗

上面可以解決android原生抓包問題,但在android7.0以上的手機,開着網絡代理訪問不了webview,若要抓包webview,
需要在webview的WebViewClient中,將一行代碼給註釋掉:

super.onReceivedSslError(view, handler, error)

這樣是爲了忽略掉SSL證書錯誤,因爲開啓代理後網絡會變得不安全,證書會報錯誤,webview檢測到證書錯誤之後就不請求任何數據。 註釋是爲了忽略掉父類的處理,默認執行下去。

警告

這樣的配置操作是敏感且危險的,只能用於測試環境方便抓包,線上包一定注意要恢復配置。
後記
通過查找資料,還有一個方法,通過重載WebViewClient的onReceivedSslError()函數並在其中執行handler.proceed(),即可忽略SSL證書錯誤,繼續加載頁面,代碼如下:

WebView webview = (WebView) findViewById(R.id.webview);
webview.setWebViewClient(new WebViewClient() {
    @Override
    public void onReceivedSslError(WebView view, SslErrorHandler handler, SslError error) {
        // 不要調用super.onReceivedSslError,因爲其包含了一條 handler.cancel(),第一次訪問時無法加載,第二次以後可以加載
        // super.onReceivedSslError(view, handler, error);
        // 忽略SSL證書錯誤,繼續加載頁面
        handler.proceed();
    }
}
發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章