当前位置：首页 > news >正文

逆向APP找证书：当JustTrustMe失效后，我是如何从APK里抠出P12文件给Charles用的

news 2026/7/16 4:20:24

逆向工程实战：从混淆APK中提取P12证书的完整指南

当JustTrustMe这类Hook工具在混淆严重的APP面前失效时，真正的逆向工程挑战才刚刚开始。上周我遇到一个金融类APP，它使用了自定义网络库和多重混淆，所有常规的SSL Pinning绕过手段全部失效。经过72小时的鏖战，最终从APK里成功抠出了它的P12证书。本文将完整还原这个实战过程。

1. 准备工作：逆向环境搭建

工欲善其事，必先利其器。在开始之前，需要准备以下工具链：

反编译工具：
```
apktool d target.apk -o output_dir
```
Jadx-GUI 用于更友好的代码查看
动态调试工具：
- Frida + Objection
- IDA Pro（针对native层分析）

证书分析工具：

openssl pkcs12 -in cert.p12 -info -nodes

代理工具：
- Charles/Fiddler（配置好HTTPS代理）

提示：建议使用Android 7.0以下设备或模拟器，避免系统证书限制带来的额外复杂度

2. 静态分析：定位证书藏身之处

面对混淆过的APK，我通常采用分层排查策略：

2.1 资源文件扫描

首先快速扫描常见资源位置：

find . -name "*.p12" -o -name "*.pem" -o -name "*.cer"

常见可疑目录：

/assets/security/
/res/raw/
/META-INF/

2.2 代码关键词追踪

当资源扫描无果时，需要转向代码分析。关键搜索词包括：

关键词	对应场景
KeyStore	Java密钥存储体系
loadCertificate	证书加载方法
PKCS12	证书格式标识
clientAuth	双向认证标志

在Jadx中搜索这些关键词时，要注意混淆后的类名可能包含：

证书相关：Cert、Auth、SSL、Secure
网络相关：Net、Http、Connection

3. 动态调试：突破混淆防线

当静态分析遇到死胡同时，动态调试就成为破局关键。以下是验证有效的几种方法：

3.1 钩住AssetManager

使用Frida钩子监控资源读取：

Interceptor.attach(AssetManager.class['open'].implementation, { onEnter: function(args) { var filename = Memory.readCString(args[1]); if(filename.endsWith('.p12')) { console.log("[*] Loading P12: " + filename); } } });

3.2 监控KeyStore操作

重点监控以下关键方法：

var KeyStore = Java.use("java.security.KeyStore"); KeyStore.load.overload('java.io.InputStream', '[C').implementation = function(stream, password) { console.log("[*] KeyStore loading with password: " + (password ? String.fromCharCode.apply(null, password) : "null")); return this.load(stream, password); };

常见密码线索：

硬编码在字符串资源中
设备特征值拼接（如IMEI+序列号）
时间戳哈希值

4. 证书提取与转换

成功定位证书后，可能会遇到以下几种情况：

4.1 直接获取P12文件

如果幸运地找到完整P12，还需要获取密码：

# 尝试常见空密码 openssl pkcs12 -in client.p12 -nodes -password pass:

4.2 提取嵌入式证书

更多时候证书被拆分成多个组件，需要手动组装：

提取公钥证书（通常为DER或PEM格式）
提取私钥（可能被加密存储）
使用OpenSSL重新打包：

openssl pkcs12 -export -out new.p12 -inkey private.key -in cert.crt

4.3 处理证书链

遇到证书链时需注意顺序：

-----BEGIN CERTIFICATE----- (客户端证书) -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- (中间CA证书) -----END CERTIFICATE-----

5. Charles代理配置实战

将提取的证书导入Charles：

导入客户端证书：
- Help → SSL Proxying → Install Charles Root Certificate
- 选择提取的P12文件并输入密码

配置SSL代理：

Proxy → SSL Proxying Settings → Add Host: * Port: 443

验证连接：
- 确保启用"Enable SSL Proxying"
- 在设备上安装Charles根证书（如需）

注意：Android 7+需要将Charles证书放入系统信任库，或使用Magisk模块处理

6. 疑难问题排查指南

实战中遇到的典型问题及解决方案：

问题现象	可能原因	解决方案
证书导入后仍报SSL错误	证书链不完整	补全中间CA证书
Charles显示乱码	双向认证未正确处理	检查客户端证书验证逻辑
连接立即断开	证书指纹校验	Hook证书比对方法
特定API失败其他正常	域名绑定校验	修改Hosts或Hook域名解析

对于顽固的SSL Pinning，可以尝试组合以下技术：

代码注入：修改证书验证返回值
二进制补丁：直接修改so文件中的校验逻辑
网络层劫持：使用iptables重定向到本地mock服务

7. 进阶技巧：自动化提取方案

对于需要批量处理的情况，可以建立自动化流程：

APK预处理脚本：

def extract_assets(apk_path): with zipfile.ZipFile(apk_path) as z: for name in z.namelist(): if name.endswith(('.p12','.pem')): z.extract(name, 'output_dir')

Frida自动化检测：

function huntCertificates() { Java.enumerateLoadedClasses({ onMatch: function(className) { if (className.toLowerCase().includes('cert')) { console.log('可疑类: ' + className); } }, onComplete: function() {} }); }