“Momentchen mal. Welche Daten schickt die App da eigentlich über den Ether?”

Das Problem, heutzutage: Nicht nur SSL/TLS verhindern, dass du sehen kannst, welche Daten da so durch die Welt geschickt werden. Das ließe sich noch relativ leicht umgehen, wenn man ein eigenes Root-Zertifikat auf dem Gerät installieren kann. Das wird aber mittlerweile durch SSL-Pinning bei den meisten Apps verhindert. Und das ist auch gut so, denn das schützt dich auch vor ungebetenen Lauschern. Es kostet aber auch ein ganzes Stück Transparenz und es ist tatsächlich nicht so einfach, das zu Forschungszwecken zu umgehen (wie ich letztes Jahr schon herausgefunden habe).

Und damit schon der erste Disclaimer: Das Abhören deines eigenen Netzwerkverkehrs ist prinzipiell erlaubt. Der Klassiker: Wireshark! Wo es kompliziert wird: Wenn du den Verkehr manipulierst oder Sicherheitsmechanismen umgehst, die z.B. Zugangsdaten schützen sollen. Das sollte dir klar sein. Also: Ich zeige dir hier, wie man zu Forschungszwecke den eigenen verschlüsselten Traffic auswerten kann. Die Anleitung ist nicht dazu geeignet, fremden Verkehr zu überwachen - also, vor allem auch aus technischer Sicht.

Na dann… let’s fetz oder auch nicht.

(Der ganze Spaß läuft hier auf Nobara, jedes andere *nix-Derivat sollte genauso funktionieren)

Waydroid als Android-Emulator vorbereiten

Waydroid ist ein Android-Emulator, den du dir hier herunterladen kannst: https://waydro.id/

Warum funktioniert das nicht mit dem Android-Emulator aus dem offiziellen Android Studio? Weil die Kombination aus Google Play Services und Root-Zugang dort nicht sauber nutzbar ist. Vielleicht hat sich das mittlerweile geändert, aber Waydroid ist hier deutlich bequemer und auch offener.

Nachdem Waydroid installiert wurde, musst du dein emuliertes Gerät einmal über Google “registrieren”, dazu brauchst du die Google Services Framework Android-ID. Das erlaubt dir später den Zugriff auf die typischen Google-Dienste. Warum brauchst du die? Weil das der offizielle und einfachste Weg ist, um an eine Android-App zu kommen. Klar bekommst du die APK-Datei oft irgendwie auch über Umwege, aber das führt dich entweder im Zweifel zu unseriösen Plattformen oder zu veralteten Versionen. Außerdem fallen Dinge wie die Anmeldung mit dem Google-SSO deutlich schwerer. Wir nutzen also ironischerweise ganz bewusst nicht das Android Studio, wollen durchaus aber auf offiziellen Pfaden wandern.

Die besagte ID der Android-Installation lässt sich auf drei Wegen auslesen, nicht jeder davon funktioniert. Der schnellste Weg ist über den Waydroid-shell-wrapper - so nenn ich das Teil jetzt mal:

1sudo waydroid shell 'settings get secure android_id'

Wenn das nicht funktioniert, kannst du dich direkt in das emulierte Gerät einwählen - was du später sowieso öfter brauchst, also gewöhn dich schon mal daran:

1sudo waydroid shell

Dort liest du die ID folgendermaßen aus:

1/system/bin/settings get secure android_id

Geht auch das nicht, versuche den Zugriff direkt auf die SQLite-Datenbank (auch direkt auf dem Gerät):

1sqlite3 /data/data/com.google.android.gsf/databases/gservices.db "SELECT * FROM main WHERE name='android_id';"

Die ID trägst du hier ein:

https://www.google.com/android/uncertified/

Und dann wartest du bis zu 24 Stunden… bis morgen!

Wenn die Registrierung bei Google erfolgreich war - du musst den Status selber auf der Seite überprüfen - musst du den Google Play Store und das Google Services Framework einmal komplett zurücksetzen, damit diese die Registrierung sauber erkennen. Also wieder auf das Gerät gewechselt:

1sudo waydroid shell

und einmal die folgenden Befehle ausgeführt:

1am force-stop com.google.android.vending && am force-stop com.google.android.gsf && rm -rf /data/data/com.google.android.vending/cache/* && rm -rf /data/data/com.google.android.gsf/cache/*

Das war’s - die Registrierung ist erfolgreich abgeschlossen - weiter geht es mit den Tools.

mitmproxy, Magisk und LSPosed

Auf dem Nobara-Host nutzt du einen Proxy, der den Traffic vom Android-System empfängt. Der Klassiker ist mitmproxy. Und deswegen installieren wir uns das Schmuckstück jetzt mal:

1sudo dnf install pipx -y && pipx install mitmproxy

Starte das Tool einfach mit mitmproxy. Theoretisch kannst du jetzt schon den Netzwerkverkehr des Geräts überwachen, dazu musst du den Proxy auf deinen Host umbiegen - das funktioniert folgendermaßen:

1sudo waydroid shell settings put global http_proxy 192.168.240.1:8080

Wenn du nicht weißt, was ein Proxy ist: Das ist eine Art “Zwischenstufe”, die du zwischen zwei kommunizierende Parteien hängen kannst. Der Proxy empfängt die Anfragen des Senders, schickt sie an den Empfänger und leitet dessen Antwort wieder zurück.

Die IP-Adresse ist natürlich deine eigene. Tatsächlich solltest du jetzt schon Netzwerkanfragen beobachten können. Den tatsächlichen Inhalt dürftest du aber nicht sehen, außer es handelt sich um unverschlüsselte HTTP-Anfragen. Übrigens: Manche Apps sind sehr empfindlich, was die Proxy-Einstellung angeht, unabhängig davon, ob du gleich mit der Zertifikats-Manipulation weitermachst. Sie lassen nicht zu, dass der Traffic über einen Proxy geleitet wird, wie z.B. der Google Play Store.

Willst du also den Proxy wieder zurücksetzen, dann funktioniert das mit diesem Kommando:

1sudo waydroid shell settings put global http_proxy :0

Nun zur eigentlich wichtigsten Komponente: Dein “eigenes” SSL-Zertifikat: Dieses liegt mit dem privaten Schlüssel bei Nobara im Ordner von mitmproxy. Damit sich mitmproxy als “echte” Gegenstelle ausweisen und den Verkehr abhören (bzw. ja nur durchschleifen) kann, gaukeln wir den Apps auf dem Android-Gerät vor, dass das eine vertrauenswürdige Gegenstelle ist. Die Zertifikate hat mitmproxy direkt nach der Installation erzeugt. Du musst sie nur noch auf dem Android-Gerät installieren. Dafür nutzt du einen kleinen Helfer:

1cd ~
2git clone https://github.com/casualsnek/waydroid_script.git
3cd waydroid_script
4# einrichten einer virtuellen Entwicklungs-Umgebung 
5python3 -m venv .venv
6# Installieren der benötigten Pakete
7.venv/bin/pip install -r requirements.txt
8# Installieren des Zertifikats
9sudo .venv/bin/python3 main.py install mitm --ca-cert ~/.mitmproxy/mitmproxy-ca-cert.pem

Das Zertifikat ist damit im Android-System installiert! Waydroid wird vermutlich automatisch neu starten. Als nächstes brauchst du eine weitere sehr populäre App: Magisk! Magisk öffnet das System für “Root-Aktionen”. Und was wir vorhaben, benötigt Root-Zugriff auf das System, der normalerweise deaktiviert ist. Zur Installation nutzen wir auch hier unser Helfer-Script:

1cd ~/waydroid_script
2sudo .venv/bin/python3 main.py install magisk

Magisk bringt ein Modul namens Zygisk mit. Das musst du in der Regel nicht extra aktivieren oder installieren. Zygisk liefert die Methoden, auf die LSPosed gleich zugreifen will.

Weiter geht’s mit LSPosed und JustTrustMe. Warum brauchst du das? Nur “Systemzertifikat” reicht heutzutage nicht mehr aus. Die meisten Apps nutzen mittlerweile SSL-Pinning. Dabei wird geprüft, ob das Systemzertifikat dem entspricht, was die App als vertrauenswürdig erwartet. Unser eigenes Zertifikat, das wir ja gerade erst erstellt haben, gehört natürlich nicht dazu (wie das mit den Zertifikaten funktioniert, habe ich übrigens hier mal genauer erklärt: https://nickyreinert.de/2017/2017-09-30-welche-arten-von-ssl-zertifikaten-gibt-es/ ).

LSPosed ist ein Framework, das dir erlaubt, beliebige Module in laufende Apps “einzuimpfen”. Sowas wie eine Cheat-Engine für Android-Apps. JustTrustMe ist so ein Modul, das letztlich die Zertifikatsprüfung bzw. SSL-Pinning umgeht. Hier entsteht der Graubereich: Du manipulierst eine fremde App. Auf deinem eigenen Gerät ist das im Prinzip erstmal ok, wenn du z.B. einen Forschungszweck verfolgst. Du kannst aber trotzdem gegen die Nutzungsbedingungen verstoßen. Das ist nicht illegal, führt aber unter Umständen dazu, dass (d)ein Account gesperrt wird. Vielleicht verstößt du gegen das Urheberrecht, aber auch das nur, wenn du mehr machst als beobachten und untersuchen.

Beide Apps lädst du dir von GitHub herunter:

• https://github.com/LSPosed/LSPosed/releases
• https://github.com/Fuzion24/JustTrustMe/releases

LSPosed muss entpackt werden und kann dann direkt über waydroid installiert werden (hierzu benötigst du nicht das Helferlein von oben).

1unzip -p LSPosed-v1.9.2-7024-zygisk-release.zip manager.apk > lsposed_manager.apk && waydroid app install lsposed_manager.apk

Die JustTrustMe kannst du in der Regel direkt installieren:

1waydroid app install JustTrustMe.apk

Auf dem Android-Gerät öffnest du LSPosed und aktivierst das Modul. Du kannst nun festlegen, welche Apps du überwachen willst - hier siehst du zwei meiner eigenen Apps 7even und BOERT (eine App, um Netzwerkgeschwindigkeit zu messen und eine App, um Apps vor Zugriffen zu schützen):

Wenn die gewünschte App nicht in der Liste auftaucht, musst du gegebenenfalls die Filter anpassen (oben rechts das Drei-Punkt-Menü). Im Prinzip kannst du jede App überwachen.

Übrigens, wenn du einfach nur die ausgehenden Netzwerkanfragen sehen willst, kannst du dafür auch ganz bequem PCAPDroid auf dem Android-Gerät nutzen. Damit siehst du zwar keinen verschlüsselten Traffic, aber jede ausgehende Anfrage. Und das ist zumindest auch kein Graubereich mehr. Die App bekommst du ganz regulär im Play Store von Google.

Wenn dir mitmproxy im Terminal zu kompliziert ist, gibt es auch andere Alternativen, die vielleicht etwas bequemer zu bedienen sind. Allem voran das eingebaute Webinterface:

1mitmweb --web-host 127.0.0.1

Das sieht tatsächlich schon etwas zugänglicher aus:

Oder der Zed Attack Proxy ( https://www.zaproxy.org/ ). Denke nur daran, dass du dann entweder das Geräte-Zertifikat des neuen Proxys installieren musst, oder das bereits installierte Zertifikat von mitmproxy weitergibst (siehe den Pfad oben).

Troubleshooting

Oben hatte ich es schon erwähnt, aber hier zum Abschluss noch mal:

Es ist sehr hilfreich, parallel in einem Terminal mit Waydroid verbunden zu sein:

1sudo waydroid shell

Von dort kannst du viele Einstellungen direkt steuern, wie z.B. den Proxy aktivieren:

1settings put global http_proxy 192.168.240.1:8080

und wieder deaktivieren:

1settings put global http_proxy :0

Außerdem hast du Zugriff auf den Activity-Manager (am). Hast du das Gefühl, dass eine App dein Proxy-Setting noch nicht so richtig verdaut hat? Starte sie neu:

1am force-stop com.roblox.client

Wenn du nicht weißt, wie das Paket der App heißt, findest du es so heraus:

1:/ # dumpsys activity services | grep 'ServiceRecord' | grep whatsapp
2  * ServiceRecord{d4e9a4f u0 com.whatsapp/.messageservice.messaging.MessageService}

Und noch ein kleiner Tipp: Du kannst den Netzwerktraffic auch bequem komplett abgreifen, um vielleicht erstmal einen groben Überblick zu erhalten. Entweder für einen bestimmten Port:

1sudo tcpdump -ni waydroid0 'udp port 443'

Oder eben ganz allgemein um zu sehen, über welche Ports eine App denn noch so nach draußen telefoniert. Oft ist es ja nicht nur HTTP-Traffic:

1sudo tcpdump -ni waydroid0

Zum Abschluss noch ein anderer Hinweis: Viele Apps verweigern die Installation auf dem Android-Emulator unter Waydroid, weil das System als nicht kompatibel erkannt wird. Oft liegt das schlicht an der Prozessor-Architektur. Waydroid unterstützt keine ARM-Architektur:

1:/ # getprop ro.product.cpu.abilist
2x86_64,x86

Aber auch dafür gibt es eine Lösung: Wir installieren einen “Übersetzer”: libhoudini (für einen Intel-basierten Host) oder libndk (für AMD). Bei mir ist es libndk, das sich leicht installieren lässt:

1cd ~/waydroid_script
2sudo .venv/bin/python3 main.py install libndk

Nun sollte Waydroid auch andere Architekturen unterstützen:

1:/ # getprop ro.product.cpu.abilist
2x86_64,x86,arm64-v8a,armeabi-v7a,armeabi

Danach nur noch den Cache löschen:

Und jetzt sollten sich auch andere Apps installieren lassen.

Ich hab mir übrigens mal Dozer Demolish angeschaut… wer erinnert sich? Das ist die App mit dem fragwürdigen Geschäftsmodell.

Und damit viel Spaß beim Sniffen… =)