刚接触手机抓包的时候最容易卡住的往往不是Burp怎么装而是当你把一切配置妥当、信心满满地打开APP操作一轮回到Burp的HTTP history一看满屏的CONNECT记录点开全是乱码。这就是典型的证书信任问题Android 7.0之后系统默认不信任用户安装的CA证书你在手机里手动装的Burp证书对大部分APP来说等于没装。这篇文章就把这件事彻底讲透为什么必须要系统根证书怎么把Burp的CA证书转换成安卓认识的格式以及三种不同设备条件下的安装路线和常见坑。1. 为什么 HTTPS 抓包会变成一片乱码——用户证书与系统证书的差别1.1 先看现象设好了监听却只抓到一堆 CONNECT我先描述一下最常见的翻车现场。你打开Burp Suite在Proxy选项卡的Proxy Listener里添加了一个监听地址一般是0.0.0.0:8080然后在同一局域网内的安卓手机上进入WiFi设置把网络的手动代理指向电脑的IP和8080端口。到这里为止操作完全正确。接着你在手机上打开任意一个APP随便点两下切回Burp的HTTP history你会发现里面确实有记录但几乎全是CONNECT开头的请求点开Response栏没有任何可读的数据有时候是一堆看不懂的二进制。如果用的是Burp的默认配置你还会看到提示说客户端没有发送完整的请求。这个现象的本质并不是代理没配上也不是Burp坏了而是HTTPS流量经过代理时客户端和Burp之间建立TLS隧道需要先通过CONNECT方法建立连接。连接建立之后Burp需要向客户端出示自己的CA证书来解密流量。但如果客户端不信任这个CA就会直接掐断握手。结果就是你在Burp里看到的只有一堆空洞的CONNECT记录。1.2 Android 7.0 起信任机制的改变问题出在Android系统的证书信任策略上。系统里有两个完全不同的证书仓库/system/etc/security/cacerts/系统级CA证书仓库存放出厂预置的、被系统认定为可信的根证书。/data/misc/user/0/cacerts-added/用户级CA证书仓库存放用户手动安装的证书。在Android 6.0及更早的版本里APP对这两个仓库里的证书是一视同仁的都会信任。所以那时候你只要在手机浏览器里访问http://burp下载并安装Burp的CA证书就能直接抓HTTPS明文。Android 7.0API 24开始Google收紧了策略APP默认只信任系统级CA证书不再信任用户手动安装的证书。也就是说你在手机上装的那个Burp证书对绝大多数APP来说根本不起作用。这就是为什么需要把Burp的CA证书塞进系统证书目录也就是标题里说的“系统根证书”。安卓版本默认信任用户CA证书手动安装证书后能否直接抓HTTPSAndroid 6.0及以下是可以Android 7.0否基本不行Android 8.0 - 9.0否不行Android 10 - 14否不行Android 15否不行且证书目录管理更严格所以整篇文章的核心只有一件事把Burp的CA证书以正确的文件名、正确的权限放进/system/etc/security/cacerts/目录。文件放进去了系统就把Burp的CA当作和DigiCert、Lets Encrypt同级的可信根证书HTTPS流量才能在Burp里还原成明文。2. 动手前的环境准备版本确认与工具清单2.1 先搞清楚三件事在动手之前我建议你先花两分钟确认三件事系统版本、root状态、有没有Magisk。这三件事直接决定你该走哪条安装路线。查看系统版本很简单手机连着电脑执行adb shell getprop ro.build.version.release看root状态执行adb shell su -c id如果返回uid0(root)说明有root权限。如果提示su: not found或permission denied说明没root。另外在设置里看看有没有Magisk应用Magisk是现在最主流的root方案它不仅能提供root权限还能通过模块机制在不改动系统分区的情况下注入系统文件这对添加系统证书来说非常有用。为什么要先确认这些因为不同状态对应不同方案有root有Magisk走Magisk模块路线最干净、最好回滚。有root没Magisk直接挂载系统分区把证书文件复制进去。没root只能用模拟器方案或者考虑先给手机装Magisk。2.2 工具清单我整理了一份工具清单按重要性排序工具用途版本建议Burp Suite抓包工具本体Community版或Professional版均可adb platform-tools手机与电脑通信建议最新版OpenSSL证书格式转换、计算hash文件名1.x或3.x均可Magisk向系统注入证书文件已root设备强烈建议一台安卓设备测试目标真机或模拟器均可Burp Suite可以直接从官方渠道下载Community版足够完成基本的抓包和证书导出。adb platform-tools在Android开发者官网就能拿到。OpenSSL在Windows上可以用Git自带的bash里的openssl或者用WSLmacOS和Linux直接终端里就有。2.3 让手机进入可调试状态接下来说说准备工作里最容易被忽略的细节。手机进入开发者模式的操作是设置里找到“关于手机”连续点击版本号7次然后返回设置菜单就能看到“开发者选项”。进入开发者选项后打开“USB调试”。部分手机上还有一个“仅充电模式下允许ADB调试”的选项一并打开。用数据线连接电脑执行adb devices如果看到device状态而不是unauthorized说明一切正常。第一次连接时手机上会弹出USB调试授权窗口需要手动确认并勾选“始终允许”。这里有个小建议如果测试用的是一台闲置手机建议在开发者选项里把“屏幕保持唤醒”和“自动系统更新”都关掉防止测试过程中系统自动更新导致环境变化。3. 证书格式转换的全过程从DER到PEM再到重命名3.1 从Burp导出一张DER格式的CA证书Burp的CA证书导出入口在Proxy设置里。打开Burp Suite进入Proxy - Proxy Settings往下找到Certificate相关区域点击“Import / Export CA certificate”在弹出的窗口里选择“Export”然后选择“Certificate in DER format”指定导出路径比如cacert.der。导出的DER文件是二进制格式安卓系统证书目录里需要的是PEM格式也就是Base64编码的文本格式。之所以要这个步骤是因为我们后面要用OpenSSL计算证书的hash值作为文件名而OpenSSL处理PEM格式更顺手。3.2 用OpenSSL完成格式转换和hash命名打开终端进入证书文件所在目录先做格式转换openssl x509 -inform DER -in cacert.der -out cacert.pem转换完成后计算这个证书的主题hash值。安卓系统证书目录里的文件名规则是hash.0其中hash是证书Subject的哈希值算法是subject_hash_oldopenssl x509 -inform PEM -subject_hash_old -in cacert.pem执行后会输出一串十六进制字符比如9a5b5752。注意这里必须用subject_hash_old而不是subject_hash。安卓系统在命名证书文件时使用的哈希算法是MD5-based的旧版算法用subject_hash算出来的结果完全不一样会导致系统无法识别。得到hash值后把PEM文件重命名mv cacert.pem 9a5b5752.0到这里证书格式转换就完成了。这个9a5b5752.0就是我们要往系统目录里塞的文件。3.3 一条命令直接生成最终文件为了避免每次手动敲命令记错参数我通常把整个过程写成一串命令openssl x509 -inform DER -in cacert.der -out cacert.pem hash$(openssl x509 -inform PEM -subject_hash_old -in cacert.pem | head -1) cp cacert.pem $hash.0 echo 生成的文件名: $hash.0这个脚本的逻辑很简单先转格式再算hash最后复制成hash.0。执行完之后当前目录下就是可以直接推到手机里的最终证书文件。有一点要提醒Burp每次重新导出的CA证书只要没有重置过CA生成的文件hash都是一样的。所以在多次测试中你生成的通常都是同一个名字不会变。只有当你把Burp的CA彻底重置hash才会变化。4. 三种把证书塞进系统证书库的实战路线4.1 路线Aroot真机直接挂载系统分区这个方法适用于已经root但没装Magisk的手机。核心思路是把/system分区重新挂载为可读写然后把证书文件复制进/system/etc/security/cacerts/。先用adb把证书文件推到手机里adb push 9a5b5752.0 /data/local/tmp/然后进入adb shell获取root权限adb shell su接下来挂载系统分区。不同安卓版本的命令略有差异常见的是mount -o rw,remount /system在Android 9及以上的某些设备上直接remount可能会失败提示Device or resource busy或者read-only file system。这时候需要先关闭verity校验adb disable-verity adb reboot重启后再执行mount命令一般就能成功了。关闭verity会触发系统启动时对分区的完整性校验首次重启后手机会有个初始化过程耐心等它完成。成功挂载后复制证书并设置权限cp /data/local/tmp/9a5b5752.0 /system/etc/security/cacerts/ chmod 644 /system/etc/security/cacerts/9a5b5752.0 chown root:root /system/etc/security/cacerts/9a5b5752.0然后重启手机。注意chmod和chown不能省略这是很多人忽略的关键点。证书文件的权限不对系统会直接忽略。这个方法的优点是通用任何root设备都能用。缺点是会改动/system分区如果系统是只读分区设计操作麻烦且容易在OTA升级后失效。4.2 路线BMagisk模块方式最省心推荐Magisk是目前最主流的root方案它的模块机制可以在不直接修改系统分区的情况下把文件注入到系统目录里效果等同于修改系统分区但更干净卸载也方便。先在手机上装好Magisk并授予root权限然后通过adb创建模块目录结构adb shell su mkdir -p /data/adb/modules/burpcert/system/etc/security/cacerts把证书文件复制进去cp /data/local/tmp/9a5b5752.0 /data/adb/modules/burpcert/system/etc/security/cacerts/设置权限chmod -R 755 /data/adb/modules/burpcert chmod 644 /data/adb/modules/burpcert/system/etc/security/cacerts/9a5b5752.0 chown -R root:root /data/adb/modules/burpcert为了让Magisk正确识别这个模块还需要创建module.prop文件echo idburpcert /data/adb/modules/burpcert/module.prop echo nameBurp CA Certificate /data/adb/modules/burpcert/module.prop echo version1.0 /data/adb/modules/burpcert/module.prop echo versionCode1 /data/adb/modules/burpcert/module.prop echo authoryou /data/adb/modules/burpcert/module.prop echo descriptionAdd Burp CA to system trust store /data/adb/modules/burpcert/module.prop重启手机。Magisk会在启动阶段自动把/data/adb/modules/burpcert/system/etc/security/cacerts/下的证书文件合并到系统证书目录效果和直接复制到/system一模一样但系统分区本身没有改动。这个方案有几个明显优势第一不需要处理/system分区挂载和verity的问题第二卸载模块即可完全恢复原状第三如果手机升级系统Magisk模块一般还能保留系统证书依然生效。所以我个人强烈推荐这个方案。4.3 路线C模拟器方案无root也能跑通如果你手里没有root设备或者不想折腾真机用模拟器可以快速验证抓包流程。Android Studio自带的AVD模拟器有一个很实用的特性可以临时以“可写系统”模式启动。启动AVD时加上-writable-system参数emulator -avd 你的AVD名称 -writable-system -no-snapshot注意-no-snapshot很关键否则模拟器会从快照恢复-writable-system不生效。启动后执行adb root adb remount adb push 9a5b5752.0 /system/etc/security/cacerts/ adb shell chmod 644 /system/etc/security/cacerts/9a5b5752.0AVD默认带rootadb root可以直接获取root权限adb remount会把/system挂载为可写。推入证书后重启模拟器即可。第三方模拟器如MuMu、雷电通常自带root权限操作方法和路线A类似adb shell su mount -o rw,remount /system cp /data/local/tmp/9a5b5752.0 /system/etc/security/cacerts/ chmod 644 /system/etc/security/cacerts/9a5b5752.0模拟器方案的优点是门槛低不需要真机root缺点是AVD在非-writable-system模式重启后之前写入的系统文件会丢失需要重新push。第三方模拟器则相对稳定一些但某些定制模拟器的/system分区可能被厂商做了特殊处理需要灵活变通。4.4 三条路线怎么选路线适用条件优点缺点root真机直接挂载有root、无Magisk通用性强改动系统分区verity问题麻烦Magisk模块有Magisk最干净、可回滚、推荐需要先安装Magisk模拟器方案无root或临时测试门槛低、速度快AVD重启失效定制模拟器偶有问题如果是长期做APP测试我的建议是直接给测试机装Magisk走模块路线。只为了临时抓个包模拟器就够了。5. 验证抓包是否成功以及我踩过的几个坑5.1 怎么确认证书真的生效了证书安装完后先别急着开Burp抓包先确认证书是否被系统识别。在手机上进入设置 - 安全 - 加密与凭据 - 信任的凭据 - 系统往下翻如果能找到“PortSwigger CA”这样的条目说明证书已经成功进入系统证书仓库。然后回到Burp把手机WiFi的手动代理重新配置好打开一个HTTPS网站比如https://www.baidu.com看看HTTP history里是否出现了明文请求。如果能看到完整的URL、请求头和响应数据恭喜抓包链路已经通了。如果只是浏览器能抓但某个APP还是看不到明文先别怀疑证书大概率是遇到了下面第四节里说的SSL Pinning问题。5.2 坑1hash用错命令导致系统不识别这个坑我踩过不止一次。OpenSSL里有-subject_hash和-subject_hash_old两个参数前者算出来的是SHA1哈希后者是MD5哈希。安卓系统的证书仓库要求的是MD5版本也就是-subject_hash_old。如果用了-subject_hash文件名虽然也符合格式但系统加载时会去查找对应hash的证书找不到就跳过效果就是证书白装了抓包还是乱码。排查方法很简单把证书文件复制到系统目录后执行adb shell ls /system/etc/security/cacerts/确认文件名和你算出来的一致。如果安装后系统证书列表里没有先重新算一遍hash。5.3 坑2权限和属主不对开机直接被忽略证书文件复制到系统目录后权限必须是644属主必须是root:root。如果是从/data/local/tmp复制过来的文件权限可能还是原来的600或755系统加载证书时发现权限不对会拒绝加载。我习惯在复制后强制执行一遍adb shell su chmod 644 /system/etc/security/cacerts/9a5b5752.0 chown root:root /system/etc/security/cacerts/9a5b5752.0在部分开启了SELinux强制模式的设备上可能还需要恢复文件的安全上下文否则证书目录的SELinux策略不允许加载。遇到这种情况执行restorecon /system/etc/security/cacerts/9a5b5752.0或者干脆用Magisk模块方式它会自动处理SELinux上下文这也是我推荐Magisk的另一个原因。5.4 坑3手机系统时间不准TLS直接报证书过期这是一个很隐蔽的问题。证书有效性和设备时间强相关。如果手机时间比真实时间偏早或偏晚超过一定范围TLS握手时会判定Burp出示的证书不在有效期内直接中止连接。表现是Burp里能看到CONNECT请求但没有任何明文数据有时候还会看到certificate_expired或certificate_unknown的错误提示。排查方法很简单看看手机状态栏的时间是否正确打开“自动确定日期和时间”重新校准后再试。这个坑在模拟器上尤其常见模拟器默认时间可能和宿主机不一致或者快照恢复后时间没同步。5.5 坑4遇到SSL Pinning的APP证书装了也没用即使证书成功进入系统仓库仍然有一类APP抓不到明文就是启用了SSL Pinning的APP。这类APP在代码里直接内置了服务器的证书或公钥或者只信任自己指定的CA完全无视系统证书仓库。判断方法在Burp能抓到该APP的CONNECT请求但TLS握手反复失败或者APP直接提示网络异常、无法连接。这种情况不是你证书装错了而是APP做了证书绑定。常规的解决思路是通过Frida、Objection这类动态插桩工具在运行时hook掉APP的证书校验逻辑或者在APP的networkSecurityConfig里额外信任系统证书。但这涉及具体APP的逆向分析已经超出了“添加系统根证书”这个主题的范围。我只提醒一句做这类测试时确保你是在测试自己有权限的APP不要在未授权的情况下对别人的服务做验证。5.6 坑5厂商定制系统的额外写保护MIUI、EMUI、ColorOS这些厂商定制系统经常会在原生Android之上加一些骚操作。比如某些MIUI版本里即使你有root权限直接remount/system也会失败因为系统还有一层单独的写保护。某些EMUI版本里证书文件改了之后重启会被还原。遇到这种设备别在挂载分区上死磕直接上Magisk模块方案。Magisk的模块机制是挂在magisk镜像里的不走系统分区的写保护逻辑兼容性最好。如果一定要用直接挂载方案可以试试先关闭系统的“增强保护”或“系统分区保护”开关但说实话不如Magisk省心。最后再分享一个实际操作中的习惯证书文件推到系统目录后我一般不会立即重启设备而是先执行adb shell ls -lZ /system/etc/security/cacerts/9a5b5752.0看一眼文件的权限、属主和SELinux标签。确认三项都正常后再重启验证。这样即使出问题也能快速定位是文件名、权限还是SELinux的问题。抓包这件事原理并不复杂真正考验耐心的是这些细枝末节。把这些细节都处理好手机抓包这关就算彻底过了。