加固 App 抓包配方
🛡️ 抓整体壳/二代壳/VMP 加固的 App 流量。
思路
加固保护 App 代码，但 App 仍走系统 SSL 收发，r0capture 在系统层 hook 不受影响。难点在 spawn 早期与加固反调试的竞争。
步骤
1. 优先 attach
App 已运行（脱壳完成）后 attach，避开启动期竞争：
bash
# 先手动启动 App,等它完全起来
python3 r0capture.py -U 酷安 -v -p out.pcap2. spawn 加延迟
若要抓启动流量，spawn + -w 等脱壳完成：
bash
python3 r0capture.py -U -f com.hardened.app -w 5 -v -p out.pcap3. 绕 frida 检测
加固常带 frida 检测，应对：
- frida-server 改名（
/data/local/tmp/abc） - 用非标准端口 +
-H连 - MagiskHide/Shamiko 隐藏 root
详见 绕过端口检测。
4. 调用栈定位
加固后类名混淆（a.b.c），但 SSLstackwrite/SSLstackread 来自 Conscrypt hook，仍能定位到网络收发层。结合栈和明文内容反推业务。
常见加固
| 加固 | 特点 |
|---|---|
| 360 加固 | 整体壳 |
| 腾讯乐固 | 整体+函数抽取 |
| 爱加密 | 二代壳 |
| 梆梆 | VMP |
r0capture 对这些都无视，只要走系统 SSL 就能抓。