פרוקסי באנדרואיד עם Burp

תמלול ההרצאה: פרוקסי באנדרואיד עם Burp

הטקסט המלא של הדקות הראשונות בהרצאה «פרוקסי באנדרואיד עם Burp» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בהרצאה הזו אנחנו רוצים להסניף את התקשורת של אנדרואיד, לתפוס את השם והסיסמה שטלפון מעביר לנו בכבל רשת כדי להזדהות מול אתר מסוים או מול אפליקציה מסוימת, ואנחנו רוצים להתקין סניפר.

2. 00:19

   הפעם אנחנו נעשה את זה בתוך Windows, ניכנס לאתר של בורפ, בורפ זה הסניפר שהשתמשנו בו בקאלי, אפשר להתקין אותו גם על Windows הרגיל שלנו, ובאתר של ביורופ יש לנו גרסת אנטרפרייז לארגונים גדולים, יש גרסת פרופשנל בתשלום ויש גרסה חינמית לקומיוניטי.

3. 00:40

   ואנחנו לוקחים את הקומיוניטי ורז'ן, את הקהילתית, את הגרסה של הקהילה. זאת גרסה חינמית, עושים לה דאונלואוד. הוא שואל אותי מה אני רוצה להוריד, פרופשנל או קומיוניטי, אני עושה לו קומיוניטי, 64-ביט דאונלואוד.

4. 00:57

   הוא מוריד את ה-207 מגה ונתקין אותה. אחרי שאנחנו נתקין אותה אנחנו נצטרך בתוך הטלפון לייבא את התעודה הדיגיטלית של הפרוקסי וזה כדי שהוא יוכל לשבור SSL הפרוקסי נכנס באמצע תקשורת של SSL ומבחינתו של השרת הפרוקסי פותח מולו שיחת SSL סשן SSL ואחרי זה הפרוקסי מחזיר חזרה לקליינט את מה שהוא קיבל מהשרת הראשי

5. 01:29

   אז פרוקסי אורז מחדש את המידע שהוא מקבל מהשרת האמיתי, ובגלל שהוא אורז הכל מחדש, הוא צריך גם לנעול את הכל עם תעודה דיגיטלית.

6. 01:41

   אז כדי שהטלפון יסמוך על תעודה דיגיטלית של פרוקסי, נצטרך לבצע כמה פעולות. כי בלי SSL אין שום בעיה, הבעיה היא ב-SSL שצריך לשבור אותו באמצע.

7. 01:54

   הפרוקסי צריך לארוז מחדש את המידע שהוא מקבל מהשרת. לארוז אותו, לא סתם להעביר אותו, לארוז אותו ולנעול אותו עם הפרייבט קי של פרוקסי, והקליינט, שזה הטלפון, צריך לסמוך על התעודה הדיגיטלית של הפרוקסי.

8. 02:11

   אני מתקין הכל ברירת מחדל, ואנחנו נעשה את הפעולה הזאת, שנגרום לטלפון לסמוך על מה שפרוקסי מעביר לו, על התעודה הדיגיטלית של פרוקסי. כי ב-SSL הכל נעול עם תעודה דיגיטלית של השרת, והקליינט צריך לסמוך על השרת, שהשרת שלנו במקרה הזה זה הפרוקסי.

9. 02:31

   טוב, אז אנחנו פותחים את הפרוקסי שלנו, מסכימים להכל, עושים על הכל נקסט, נקסט, נקסט, ברירת מחדל. זה הכלי שלנו, זה הפרוקסי, כבר דיברנו עליו בקורסים קודמים של האקינג.

10. 02:44

    נכנסים לפרוקסי, עושים אינטרספט איז אוף. מכבים את האינטרספט, זה אומר שלא יעצור לי פאקטים באמצע. זה אומר שהוא ממשיך לעבוד, אבל הוא לא עוצר את התקשורת, הוא רק כביכול מתווך אוטומטי, וכל מה שהוא יעשה אוטומטית ייכנס פה ל-HTTP היסטורי.

11. 03:04

    הבעיה היחידה היא שבאופשיאנס הוא מאזין רק לעצמו. אז אני עושה לו אדיט ואומר לו תאזין על כל האינטרפייסים, על כל כרטיסי הרשת, ואז הוא עושה יס ואני מאפשר אותו בפיירוול.

12. 03:19

    עכשיו הוא מאזין על כל האינטרפייסים כוכבית 8080, זה הפורט שלו. נהדר, וברגע שמשהו יעבור דרכו אנחנו נראה את זה כאן ב-HTTP היסטורי. נהדר.

13. 03:31

    איפה הבעיה שלנו? שצריך ב-Options כאן לייצא תעודה דיגיטלית. אתם רואים Import and Export CA Certificate. את ה-Certificate, את התעודה הדיגיטלית, צריך לעשות ל-Export.

14. 03:44

    אני לוחץ על הכפתור הזה, עושה Export לתעודה דיגיטלית. שימו לב, אני מייצא רק את ה-Public Key. אני לא מייצא את ה-Private. ה-Private נשאר רק בשרת, שזה ה-Proxy, וה-Public Key זה מה שאני צריך לשים ב-Client.

15. 04:02

    שזה אנדרואיד, שיסמוך על הפאבליקי הזה. אוקיי, אני מייצר אותו. עכשיו הוא שואל אותי איפה לשים אותו, בואו נניח נשים אותו בתיקייה כלשהי, אנחנו יכולים לשים אותו בכל תיקייה שנרצה.

16. 04:16

    נניח נשים אותו בתיקי הדאונלורדס, אוקיי, וניתן לזה שם, יש לנו פה כל מיני דברים, ניתן לזה שם ברפ סרטיפיקייט. שימו לב, מאוד חשוב לעשות סיומת סר, למה אחרת הטלפון לא ירא לכם אותו?

17. 04:33

    אני אעשה לכם בעיות, חשוב לשים באופסרפ וזה הנתיב שלי, נהדר. אני עושה נקסט, פיניש, זהו. אז סיימתי לעשות אקספורט לתעודה דיגיטלית, ועכשיו אנחנו צריכים לדחוף אותה לכאן, להעביר אותה לטלפון.

18. 04:50

    איך אנחנו מעבירים לטלפון? בואו נלך לדאונלודס, בדאונלודס נפתח CMD, אה, דרך אגב, התעודה הזאת, הנה התעודה שלנו באופסרטיפיקייט, אנחנו עושים דאבל קליק ואנחנו רואים פה שפורט סוויגר הנפיק אותה והוא גם זה שחתם עליה כאילו הוא זה שהנפיק אותה לעצמו

19. 05:10

    כביכול אין לנו פה איזשהו אבא שכולם סומכים עליו בגלל זה אנחנו צריכים להגיד לטלפון שיסמוך על האבא הזה על התעודה הזאת יש לנו הסבר מפורט בקורס מנהלי רשת על תעודות דיגיטליות אני נותן לכם רק את מה שממש קריטי אוקיי הלאה אז יש לנו פה כוכבית נקודה סר סרטיפיקייט באופ סרטיפיקייט יופי ואנחנו עושים פוש, דוחפים את זה לתיקיית דאונלודס של המכשיר.

20. 05:40

    בואו נעשה קופי, ADB פוש, one file pushed, יופי, הוא העביר קובץ אחד. עכשיו אנחנו ניכנס למכשיר ונגיד לו לסמוך על התעודה הזאת.

21. 05:52

    אנחנו נכנסים פה לסטינגס של המכשיר. בתוך סטינגס של המכשיר מחפשים את כל הנושא של הסרטיפיקייטס. לוקח לו קצת זמן לזוז, הוא קצת איטי. אם הוא נתקע לכם, תעשו ריסטארט למחשב כולו, למכונה וירטואלית כולה, זה הניסיון שלי.

22. 06:09

    פה אני בא ועושה Certificate, Install Certificates, להתקין תעודות דיגיטליות. הנה, יש פה בתפריט