Android应用协议降级实战：基于LSPosed的HTTP/2抓包解决方案

1. 项目概述：当App拒绝被窥探时，我们如何“说服”它

在移动应用逆向与安全分析领域，抓包是理解应用网络行为、分析接口逻辑、甚至挖掘潜在问题的第一步。然而，随着各大平台对安全性的日益重视，越来越多的App，尤其是像美团、大众点评这类涉及核心业务与用户数据的“某团系”应用，开始采用强力的反抓包策略。你可能会遇到这样的场景：打开Fiddler或Charles，设置好代理，满怀信心地启动App，却发现网络请求一片空白，或者App直接提示“网络连接失败”。这背后，往往是App启用了HTTP/2、TLS 1.3甚至自定义的二进制协议，并配合证书锁定（SSL Pinning）等机制，将传统的中间人代理攻击拒之门外。

面对这种“铜墙铁壁”，一种经典且有效的思路是“协议降级”。其核心思想是，既然App使用的高级协议（如HTTP/2）或安全连接难以直接拦截，那就想办法让App“退化”到使用更基础、更易于分析的协议版本，比如HTTP/1.1。这就像与一个只讲方言的人沟通困难，不如想办法让他切换成大家都能听懂的普通话。本项目的目标，正是深入剖析“某团系”应用（以美团、大众点评为典型代表）的协议反制机制，并实战开发一款基于LSPosed框架的Xposed模块，实现对其网络协议的持久化降级，从而为后续的抓包与分析扫清障碍。整个过程不仅涉及网络协议分析、逆向工程，还考验我们对Android Hook框架的灵活运用。

2. 核心思路与方案选型：为什么是Hook与协议降级？

当直接代理抓包失效时，我们通常有几种应对思路：一是尝试绕过证书锁定，例如使用JustTrustMe等Xposed模块；二是使用更底层的抓包工具，如tcpdump在系统层面捕获原始流量；三是修改App本身或系统环境，强制其使用特定的协议或代理。对于“某团系”这类防护严密的应用，单纯绕过证书锁定往往不够，因为其可能还使用了非标准端口、自定义的HTTP头校验或对代理环境有感知。而tcpdump抓到的往往是加密后的TLS记录，对于快速分析接口意义不大。

因此，主动干预App的网络请求行为，强制其降级协议成为了一个精准且高效的突破口。这个方案的优势在于：

1. 针对性强：直接作用于目标App的网络库调用环节，不影响系统其他应用。
2. 效果持久：通过Xposed/LSPosed实现运行时Hook，只要模块启用，每次启动App都会生效。
3. 信息丰富：降级到HTTP/1.1后，请求头、响应头、URL参数等都以明文形式在代理工具中展现，极大方便了分析。

那么，如何实现干预？这就需要逆向分析App，找到其构建网络客户端（通常是OkHttp或Retrofit）的关键代码位置，特别是设置协议版本、构造请求头的地方。我们的目标就是Hook这些方法，修改其中的参数，将类似Protocol.HTTP_2的标识替换为Protocol.HTTP_1_1，或者修改特定的请求头（如tunnel、source），使服务器接受降级后的请求。

框架选择上，我们使用LSPosed而非传统的Xposed。LSPosed作为后起之秀，继承了EdXposed的衣钵，并进行了大量优化，其特点在于基于Riru（或Zygisk）实现，作用域更精确（可以针对单个App启用模块），对系统性能影响更小，且在新版Android系统上兼容性更好。这对于需要长期稳定运行的分析环境至关重要。

3. 逆向分析与关键点定位

在开发降级模块之前，我们必须先当好“侦探”，从目标App中找出设置网络协议的关键代码。这个过程通常结合静态分析与动态调试。

3.1 静态分析：从APK到关键代码

首先，需要获取目标App的APK文件。可以通过应用市场下载后使用adb pull命令提取，或者从一些第三方渠道获取。之后，使用反编译工具链进行处理：

1. 解包与反编译：使用apktool解码资源文件，同时使用dex2jar或jadx这类工具将Dex文件反编译为Java代码。我个人更推荐jadx-gui，它提供了图形化界面，支持全局搜索、跳转引用，对分析大型代码库非常友好。
2. 搜索协议相关关键字：在反编译得到的Java代码中，搜索以下关键词：
   • HTTP/2、Protocol.HTTP_2、h2（HTTP/2的标识）
   • OkHttp、OkHttpClient、Retrofit（流行的网络库）
   • ConnectionSpec、TlsVersion（TLS配置）
   • .protocol(（方法调用）
   • 以及从热词中看到的疑似关键头信息，如tunnel、source。
3. 定位网络客户端初始化：找到App初始化OkHttpClient.Builder()或Retrofit.Builder()的地方。通常会在一个单例类或Application的初始化方法中。这里会集中配置超时、拦截器、协议等。

注意：商业App普遍会进行代码混淆（Proguard），类名、方法名会变成a、b、c这类无意义的字符。这时需要结合字符串常量、方法调用模式以及动态调试来辅助判断。例如，即使类名是a，但其内部有一个方法调用了new OkHttpClient.Builder()，那这个类就很有可能是网络配置类。

3.2 动态调试：验证与精准打击

静态分析提供了线索，但最终确认需要动态调试。我们可以使用frida这个强大的动态插桩工具。

1. 编写Frida脚本：编写脚本，Hook疑似设置协议的方法。例如，HookOkHttpClient.Builder的build方法，或者HookConnectionSpec.Builder的相关方法，打印出构建时的参数。

   // 示例：Hook OkHttpClient.Builder的build方法，打印其protocols列表 Java.perform(function() { var OkHttpClientBuilder = Java.use('okhttp3.OkHttpClient$Builder'); OkHttpClientBuilder.build.implementation = function() { var result = this.build(); // 尝试获取protocols字段，可能需要遍历字段名 console.log("[*] OkHttpClient built."); // 这里可以尝试打印this对象的所有字段，寻找protocols return result; }; });

2. 运行与观察：将脚本注入到运行中的目标App进程，然后操作App触发网络请求。观察控制台输出，看是否能捕获到协议配置信息。如果发现默认包含了HTTP/2，那么这里就是我们的一个Hook点。
3. 定位请求头修改点：同样，可以Hook网络请求的构建过程，例如Request.Builder的build方法，或者常见的添加请求头的方法addHeader，查看在请求发出前，哪些自定义头（如tunnel,source）被添加了，它们的值是什么。我们的目标就是在请求发出前修改这些值。

通过动静结合的分析，我们最终要确定一到两个最可靠的Hook点：一个用于修改协议版本，另一个用于修改特定的请求头以欺骗服务器接受降级请求。

4. LSPosed降级模块开发实战

确定了关键Hook点后，我们就可以开始编写LSPosed模块了。这里以一个假设的Hook点为例进行说明。假设我们分析出目标App在一个名为com.example.network.NetworkConfig的类（混淆后可能是a.b.c）中，通过方法getHttpClient()返回了一个配置好的OkHttpClient。

4.1 模块基础工程搭建

1. 开发环境：使用Android Studio。新建一个“No Activity”的Android项目，选择最低API级别（如21），语言为Java或Kotlin（本例用Java）。
2. 配置依赖：在app/build.gradle文件中添加必要的依赖。

   dependencies { // LSPosed API，提供Hook所需的注解和工具类 compileOnly 'de.robv.android.xposed:api:82' compileOnly 'de.robv.android.xposed:api:82:sources' // 为了Hook OkHttp，可能需要其库（仅编译时） compileOnly 'com.squareup.okhttp3:okhttp:4.9.0' // 版本需尽量匹配目标App使用的版本 }

3. 配置元数据：在AndroidManifest.xml的<application>标签内添加元数据，告诉LSPosed框架这是一个模块。

   <meta-data android:name="xposedmodule" android:value="true" /> <meta-data android:name="xposeddescription" android:value="强制某团系App降级HTTP协议以方便抓包" /> <meta-data android:name="xposedminversion" android:value="90" />

4.2 核心Hook逻辑实现

我们创建一个类，例如MainHook，来实现IXposedHookLoadPackage接口。

package com.example.httpdowngrade; import de.robv.android.xposed.IXposedHookLoadPackage; import de.robv.android.xposed.XC_MethodHook; import de.robv.android.xposed.XposedHelpers; import de.robv.android.xposed.callbacks.XC_LoadPackage; public class MainHook implements IXposedHookLoadPackage { @Override public void handleLoadPackage(XC_LoadPackage.LoadPackageParam lpparam) throws Throwable { // 只针对目标包名生效，例如美团 if (!lpparam.packageName.equals("com.sankuai.meituan")) { return; } // 假设我们定位到的网络配置类和方法 String targetClassName = "com.sankuai.meituan.network.a"; // 混淆后的类名 String methodName = "b"; // 返回OkHttpClient的方法名 try { XposedHelpers.findAndHookMethod(targetClassName, lpparam.classLoader, methodName, new XC_MethodHook() { @Override protected void afterHookedMethod(MethodHookParam param) throws Throwable { // 该方法返回一个OkHttpClient实例 Object httpClient = param.getResult(); if (httpClient == null) { return; } // 1. 强制修改协议列表为 HTTP/1.1 // 通过反射获取OkHttpClient内部的protocols列表并修改 try { // 获取 client 的 protocols 字段（字段名可能需要根据版本调整） java.util.List protocols = (java.util.List) XposedHelpers.getObjectField(httpClient, "protocols"); if (protocols != null) { protocols.clear(); // 添加 HTTP/1.1 协议 // 需要获取 Protocol 类，并找到 HTTP_1_1 常量 Class protocolClass = Class.forName("okhttp3.Protocol"); Object http1_1 = XposedHelpers.getStaticObjectField(protocolClass, "HTTP_1_1"); protocols.add(http1_1); // 可以移除 HTTP_2 等 // Object http2 = XposedHelpers.getStaticObjectField(protocolClass, "HTTP_2"); // protocols.remove(http2); } } catch (Exception e) { // 字段名可能不对，尝试另一种方式：通过Builder重建Client // 这是更稳妥但稍复杂的方法 rebuildClientWithDowngradedProtocol(param); } // 2. 修改特定请求头（例如tunnel, source） // 我们需要Hook添加请求头的地方，或者在发起请求的拦截器里做手脚 // 这里以Hook一个通用的请求构建拦截器为例 hookRequestBuilder(lpparam.classLoader); } }); } catch (Throwable e) { // 类或方法没找到，记录日志 android.util.Log.e("HTTPDowngrade", "Hook failed: " + e.getMessage()); } } private void rebuildClientWithDowngradedProtocol(XC_MethodHook.MethodHookParam param) { // 获取原始的OkHttpClient.Builder，或者通过反射构造一个新的Builder // 这里是一种思路：如果原方法返回的是OkHttpClient，我们可以尝试修改其内部Dispatcher、拦截器等？ // 更直接的方式是Hook更早的Builder构建过程。 // 此处省略具体实现，取决于逆向找到的具体代码结构。 android.util.Log.d("HTTPDowngrade", "Attempting to rebuild client..."); } private void hookRequestBuilder(ClassLoader classLoader) { // 假设目标App使用OkHttp，我们Hook Request.Builder的build方法 try { XposedHelpers.findAndHookMethod("okhttp3.Request.Builder", classLoader, "build", new XC_MethodHook() { @Override protected void beforeHookedMethod(MethodHookParam param) throws Throwable { // 在构建请求前，我们可以修改其headers Object thisBuilder = param.thisObject; // 通过反射获取headers字段（OkHttp 3.x是Headers，4.x可能是MutableHeaders） // 这里以OkHttp3为例，简化处理 try { // 获取当前的headers map java.util.Map headers = (java.util.Map) XposedHelpers.getObjectField(thisBuilder, "headers"); if (headers != null) { // 修改或添加特定的头 // 例如，将 tunnel 头改为一个允许降级的值（这个值需要逆向分析得出） headers.put("tunnel", "off"); // 假设值 headers.put("source", "compatible_client"); // 假设值 } } catch (Exception e) { // 处理异常，可能字段结构不同 } } }); } catch (Throwable e) { android.util.Log.e("HTTPDowngrade", "Hook Request.Builder failed: " + e.getMessage()); } } }

4.3 模块配置与作用域声明

为了让LSPosed框架知道我们的模块Hook哪个包，需要在assets目录下创建xposed_init文件，内容为入口类的全名：

com.example.httpdowngrade.MainHook

同时，在模块的UI界面（如果开发了）或通过LSPosed管理器，我们需要精确指定模块生效的范围为com.sankuai.meituan（美团包名）和com.dianping.v1（大众点评包名），避免影响其他应用。

4.4 编译、安装与测试

1. 编译APK：在Android Studio中构建生成APK。
2. 安装模块：将APK安装到已安装LSPosed框架的Android设备或模拟器上。
3. 激活模块：打开LSPosed管理器，在“模块”页面找到我们的模块，勾选并指定作用域为目标App（美团/大众点评），然后重启目标App或整个系统（根据提示）。
4. 验证效果：
   • 启动配置好代理（如Charles，监听端口8888）的电脑。
   • 将手机Wi-Fi代理设置为电脑IP和端口。
   • 在Charles中安装好手机证书并信任。
   • 启动目标App，进行任意操作（如搜索、查看商家）。
   • 观察Charles的抓包界面。如果成功，你应该能看到清晰的HTTP/1.1请求和响应，请求头中可能包含我们修改过的tunnel和source值。如果仍然抓不到包或App报错，则需要回头检查Hook点是否准确、修改的值是否被服务器接受。

5. 抓包工具配置与降级效果验证

模块生效后，抓包环境的配置就回归传统流程了，但这里有一些针对降级后场景的优化技巧。

5.1 代理工具精细化配置

推荐使用Charles或Fiddler，它们对HTTP/1.1的支持非常成熟，且视图友好。

1. SSL代理设置：确保在Proxy -> SSL Proxying Settings中，添加了目标域名（如*.meituan.com,*.dianping.com）和端口（通常是443）。这样Charles才能解密HTTPS流量。
2. 启用HTTP/1.1强制：有些工具（如Fiddler Classic）有选项可以强制下游连接使用HTTP/1.1，这与我们的模块是双重保险。在Fiddler的Rules -> Performance -> 取消勾选“Allow HTTP/2”之类的选项。
3. 过滤会话：在抓包软件中设置Filter，只显示目标域名的流量，避免信息过载。

5.2 验证降级是否成功

在Charles的会话列表（Sequence）中，查看请求的协议列（Protocol）。如果成功降级，这里应该显示为HTTP/1.1或TLSv1.2，而不是HTTP/2。同时，检查请求的Raw视图，查看tunnel和source头是否已被修改为我们模块中设置的值。

5.3 分析抓取到的数据

降级成功后，所有请求和响应的头信息、URL参数、表单数据、JSON响应体都将清晰可见。你可以：

• 分析接口结构：了解App的业务逻辑是如何通过API组织的。
• 定位关键参数：找出用于身份认证的token、签名参数等。
• 模拟请求：使用Charles的“Compose”功能或Postman，复制请求信息进行重放测试，验证接口逻辑。

6. 常见问题、排查技巧与进阶思考

在实际操作中，你几乎一定会遇到各种问题。下面是一些常见坑点及解决方案。

6.1 模块不生效

• 检查LSPosed作用域：确保模块在LSPosed管理器中已启用，并且精确勾选了目标App。重启目标App（从最近任务划掉再打开），有时需要重启手机。
• 检查Hook点：使用XposedBridge.log在Hook方法中打印日志，确认代码是否被执行。如果没日志，说明类名或方法名不对，需要重新逆向分析。考虑目标App是否有多进程，你的Hook是否进入了正确的进程（通常是主进程）。
• 类加载器问题：在handleLoadPackage中，lpparam.classLoader是目标App的类加载器。确保用它来查找类。有些类可能由其他加载器加载，需要更复杂的查找策略。

6.2 抓包工具看不到流量

• 代理设置：确认手机Wi-Fi代理的IP和端口正确，且电脑防火墙允许了代理端口的连接。
• 证书问题：即使降级为HTTP/1.1，HTTPS流量仍需解密。确保Charles/Fiddler的根证书已安装到手机系统证书目录（Android 7+需要将证书移动到系统证书目录，或使用Magisk模块辅助）。在Charles中，检查SSL Proxying设置是否包含目标域名。
• App检测代理：部分App会检测是否设置了系统代理。如果检测到，可能直接不走网络或报错。此时需要更高级的绕过手段，例如使用ProxyDroid等工具做透明代理，或者Hook App检测代理的方法（如System.getProperty(“http.proxyHost”)）使其返回空。

6.3 降级后App功能异常或网络错误

• 服务器兼容性：你修改的tunnel或source值可能不正确，服务器拒绝服务。需要更仔细地逆向分析，找到服务器可接受的降级标识值。可以尝试抓取正常请求（在未降级但能通信的情况下，如果可能）的包，或者分析App不同版本、不同网络环境下的行为差异。
• 协议或加密套件不匹配：强制降级到HTTP/1.1后，可能还需要配套修改TLS版本或加密套件。可以尝试HookConnectionSpec的相关配置。
• 签名校验：请求参数可能带有签名，任何修改（包括请求头）都会导致签名错误。你需要找到签名算法并Hook它，使其基于修改后的参数重新计算正确签名。这是最复杂的情况，需要对App进行更深度的逆向。

6.4 性能与稳定性考量

• Hook的稳定性：Xposed Hook本质上是对内存中方法的修改，不恰当的Hook可能导致App崩溃。务必做好异常捕获，并尽量使用afterHookedMethod而非beforeHookedMethod，除非必要。
• 协议性能：HTTP/1.1在连接复用方面不如HTTP/2，对于需要大量并发请求的页面，可能会略微影响App的加载速度。这在分析环境下通常可以接受。

6.5 进阶方向

• 通用化模块：目前的模块是针对特定App的。你可以尝试将其通用化，通过配置文件或UI界面，让用户自定义需要降级的App包名、需要修改的类和方法名、以及需要替换的请求头键值对。
• 结合其他技术：将协议降级与证书锁定绕过（如TrustMeAlready）、代理检测绕过等功能集成到一个模块中，打造一个强大的移动端抓包辅助工具套件。
• 动态更新Hook点：App会更新，混淆映射会变。可以设计模块从云端拉取最新的Hook配置，实现动态更新，减少每次App更新后都需要重新逆向的工作量。

开发这样一个降级模块，就像一场与App开发者的精妙博弈。它要求你不仅理解Android Hook机制和网络协议，更需要耐心和细致的逆向分析能力。每一次成功抓取到原本被隐藏的流量，都是对技术屏障的一次有效穿透，也为进一步的安全评估、协议分析或学习研究打开了大门。记住，所有技术都应用于合法合规的范围内，用于安全研究、学习或个人调试目的。