{"id":238,"date":"2024-08-26T20:43:00","date_gmt":"2024-08-26T20:43:00","guid":{"rendered":"https:\/\/tolva.fr\/?p=238"},"modified":"2025-03-08T22:12:46","modified_gmt":"2025-03-08T22:12:46","slug":"dechiffrer-le-trafic-tls-dune-application-android-avec-frida","status":"publish","type":"post","link":"https:\/\/tolva.fr\/index.php\/2024\/08\/26\/dechiffrer-le-trafic-tls-dune-application-android-avec-frida\/","title":{"rendered":"D\u00e9chiffrer le trafic TLS d’une application Android avec Frida"},"content":{"rendered":"\n

D\u00e9chiffrer le trafic TLS est souvent une \u00e9tape incontournable lorsque l’on \u00e9tudie une application Android.<\/p>\n\n\n\n

La m\u00e9thode usuelle est d’utiliser un proxy HTTPS comme BurpProxy ou Http Toolkit.<\/p>\n\n\n\n

Cette m\u00e9thode n\u00e9cessite g\u00e9n\u00e9ralement d’installer un certificat dans le magasin de certificats du terminal (m\u00eame s’il est possible d’arriver \u00e0 ses fins en patchant l’application \u00e9tudi\u00e9e, mais c’est une autre histoire), chose qui est de plus en plus compliqu\u00e9e, comme l’explique cet article https:\/\/httptoolkit.com\/blog\/android-14-install-system-ca-certificate\/<\/a> .<\/p>\n\n\n\n

Mais pourquoi s’emb\u00eater alors qu’on peut r\u00e9cup\u00e9rer les cl\u00e9s de la session TLS avec Frida ?<\/p>\n\n\n\n

Regardons comment un script frida de quelques lignes permettrait d’arriver \u00e0 nos fins.<\/p>\n\n\n\n

Conscrypt et BoringSSL<\/strong><\/h4>\n\n\n\n

\u00c0 partir de Android 11, Conscrypt devient l’impl\u00e9mentation SSLSocket<\/code> par d\u00e9faut (voir fin de https:\/\/developer.android.com\/privacy-and-security\/security-ssl?hl=fr<\/a>), ce qui signifie qu’une grande partie des applications utilisent Conscrypt.<\/p>\n\n\n\n

En interne, Conscrypt utilise \u00e0 son tour la biblioth\u00e8que native BoringSSL, qui est un fork de OpenSSL cr\u00e9\u00e9 peu apr\u00e8s la d\u00e9couverte de Heartbleed en 2014.<\/p>\n\n\n\n

La fonction SSL_do_handshake<\/code><\/strong><\/h4>\n\n\n\n

BoringSSL embarque bssl<\/code>, outil de test en ligne de commande permettant de se connecter \u00e0 un serveur TLS.<\/p>\n\n\n\n

C’est la fonction SSL_connect()<\/code>, appel\u00e9e par la fonction DoConnection<\/code>, qui fait le travail :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Cette fonction, impl\u00e9ment\u00e9e dans ssl_lib.cc, se r\u00e9duit essentiellement \u00e0 un appel \u00e0 SSL_do_handshake<\/code> :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Cette fonction est elle aussi impl\u00e9ment\u00e9e dans ssl_lib.cc :<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Cette fonction est bien export\u00e9e par BoringSSL et pourra facilement \u00eatre hook\u00e9e avec frida :<\/p>\n\n\n\n

$ aarch64-linux-gnu-objdump -T \/tmp\/libssl64.so | grep SSL_do\n0000000000043cd0 g    DF .text    0000000000000160  Base        SSL_do_handshake<\/code><\/pre>\n\n\n\n
Frida permet de modifier le comportement d’une fonction native au tout d\u00e9but et \u00e0 la toute fin de la fonction :<\/p>\n\n\n\n
const func_ptr = Module.getExportByName('librairie.so', 'uneFonction');\n\nInterceptor.attach(func_ptr, {\n\n    onEnter(args) {\n        on fait qqch ici\n    },\n\n    onLeave(retvar) {\n        on fait qqch ici\n    }\n});<\/code><\/pre>\n\n\n\n
Ici c’est la fin de la fonction qui nous int\u00e9resse, puisque \u00e0 ce stade le handshake est normalement termin\u00e9.<\/p>\n\n\n\n
La fonction SSL_do_handshake()<\/code> n’utilise qu’un seul argument, un pointeur ssl<\/code> sur une structure de type SSL<\/code>.<\/p>\n\n\n\n
Il va donc falloir explorer la structure SSL<\/code> pour voir si les secrets de handshake y sont bien nich\u00e9s, directement ou non.<\/p>\n\n\n\n
Comme le d\u00e9crit la section 7 de la rfc 8446 d\u00e9crivant TLSv1.3, les secrets en question sont \u00e0 minima :<\/p>\n\n\n\n