Burp Suite拦截移动端请求全攻略（Android/iOS实测可用）

Burp Suite移动端请求拦截实战指南Android/iOS双平台适配移动应用安全测试已成为开发者与安全工程师的必修课。不同于传统PC端测试移动设备受限于操作系统差异和证书管理机制常让测试者陷入看得见摸不着的困境。本文将彻底解决Android和iOS平台下Burp Suite抓包的核心痛点从代理配置到证书信任的全流程手把手带你突破移动端抓包的技术壁垒。1. 环境准备与基础配置1.1 Burp Suite监听设置启动Burp Suite Community/Professional版进入Proxy→Options标签页。关键配置项如下参数项推荐值作用说明Proxy listeners0.0.0.0:8080允许外部设备连接Request handlingSupport invisible proxying处理非标准代理请求InterceptClient requests only初始阶段减少干扰流量提示若使用专业版建议关闭Project-level settings中的TLS passthrough选项避免HTTPS流量逃逸# 验证本地端口监听状态Mac/Linux lsof -i :8080 | grep LISTEN # Windows等效命令 netstat -ano | findstr 80801.2 移动设备网络配置确保测试设备与运行Burp的电脑处于同一局域网。建议使用以下连接方案电脑开启热点共享最稳定通过路由器直连需关闭AP隔离第三方WiFi共享工具如ConnectifyAndroid设备进入设置→WLAN长按当前网络选择修改网络添加手动代理主机名电脑的局域网IP如192.168.1.100 端口8080与Burp监听端口一致iOS设备需在WiFi设置中点击当前网络右侧的i图标滑动到最底部选择配置代理→手动填写相同信息。2. 证书安装与信任配置2.1 Android系统证书部署在电脑浏览器访问http://burpsuite下载cacert.der证书文件传输证书到手机USB/SFTP/云存储等进入设置→安全→加密与凭据→安装证书选择CA证书文件类型选DER完成安装后命名为Burp CAAndroid 7特殊处理 对于未root的设备需在应用私有目录添加网络配置文件!-- res/xml/network_security_config.xml -- network-security-config base-config trust-anchors certificates srcraw/burp_ca/ /trust-anchors /base-config /network-security-config2.2 iOS系统证书信任使用Safari访问http://burpsuite下载证书进入设置→已下载描述文件安装证书前往设置→通用→关于本机→证书信任设置启用Burp证书的完全信任注意iOS 13需额外关闭限制IP跟踪设置 → WiFi → 当前网络 → 关闭限制IP跟踪3. 高级拦截技巧3.1 处理证书固定Certificate Pinning当遇到SSL handshake failed错误时可尝试以下方案Android方案// 使用Frida绕过证书检查 Java.perform(function() { var Certificate Java.use(java.security.cert.Certificate); var X509Certificate Java.use(java.security.cert.X509Certificate); Certificate.verify.overload(java.security.PublicKey).implementation function() {}; X509Certificate.checkValidity.overload().implementation function() {}; });iOS方案 使用Objection工具注入objection --gadget com.target.app explore -s ios sslpinning disable3.2 拦截WebSocket流量在Burp中启用WebSocket代理Proxy→Options→WebSockets勾选Intercept WebSockets messages设置消息过滤规则如^ws://4. 实战问题排查手册4.1 常见错误代码对照表现象可能原因解决方案ERR_CERT_AUTHORITY_INVALID证书未正确信任检查系统证书存储状态CONNECTION_REFUSED代理端口冲突修改Burp监听端口为8443仅能拦截HTTP流量未安装CA证书重新部署DER格式证书iOS应用无流量启用ATS保护修改Info.plist配置4.2 性能优化建议在User options→Connections中调整Maximum concurrent requests建议值20对高流量应用启用Proxy→HTTP history中的过滤规则定期清理Live tasks中的后台任务真实案例某金融APP采用双向证书校验最终通过Xposed模块JustTrustMe配合Burp完成拦截。这种深度定制场景需要具体问题具体分析建议建立自己的移动测试工具库。