Https Traffic

リクエストを再生および操作して、サーバー側の脆弱性をテストできます。

多くの場合、モバイルデバイスでシステムプロキシを構成して、HTTP（S）トラフィックがホストコンピューターで実行されているインターセプトプロキシを介してリダイレクトされるようにするのが最も実用的です。モバイルアプリクライアントとバックエンド間のリクエストを監視することで、利用可能なサーバー側APIを簡単にマッピングし、通信プロトコルに関する洞察を得ることができます。さらに、リクエストを再生および操作して、サーバー側の脆弱性をテストできます。

いくつかの無料および商用のプロキシツールが利用可能です。最も人気のあるものは次のとおりです。

1）Burp Suite

2）OWASP ZAP

インターセプトプロキシを使用するには、ホストコンピューターでインターセプトプロキシを実行し、HTTP（S）要求をプロキシにルーティングするようにモバイルアプリを構成する必要があります。ほとんどの場合、モバイルデバイスのネットワーク設定でシステム全体のプロキシを設定するだけで十分です。アプリが標準のHTTP APIまたはokhttpなどの一般的なライブラリを使用している場合は、システム設定が自動的に使用されます。

プロキシを使用するとSSL証明書の検証が失敗し、アプリは通常TLS接続の開始に失敗します。この問題を回避するには、プロキシのCA証明書をデバイスにインストールします。

HTTP（S）トラフィックの傍受