关于eCapture

eCapture是ehids开发的一个基于eBPF技术实现TLS加密的明文捕获、无需CA证书的工具

• 0cdK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6W2K9r3W2V1M7#2)9J5c8X3g2U0j5i4m8@1N6i4u0W2
• bd1K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6W2j5$3q4H3N6s2g2J5k6g2)9J5k6h3y4U0i4K6u0r3P5X3R3`.

爬坑之路

环境：Windows 10；eCapture v0.4.8

• 最近看到eCapture这个项目比较感兴趣
• 但是安卓设备的内核版本只有在5.10版本上才可以进行无任何修改的开箱抓包操作
• 我目前手上的测试机都是老古董了，什么小米6、Pixel 1代，看了下内核最高的也就到4.4 查看内核版本：adb shell cat /proc/version
• 看到官方教程中提到了使用AS模拟器 Android 12 的知乎APP抓包
• 于是使用 Android Studio 创建模拟器：Pixel 5 API 31 (Android 12 x86_64)

  1 2 3 4 5 6

  adb push ecapture /data/local/tmp/ adb root adb shell cd /data/local/tmp chmod 777 ecapture ./ecapture tls

• 结果出现如下错误 module run failed, ... couldn't edit target_port in probe_ret_SSL_read

  1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

  emulator64_x86_64_arm64:/data/local/tmp # ./ecapture tls tls_2022/11/15 09:34:24 ECAPTURE :: ecapture Version : androidgki_x86_64:0.4.8-20221105-078f180:5.15.0-1022-azure tls_2022/11/15 09:34:24 ECAPTURE :: Pid Info : 7397 tls_2022/11/15 09:34:24 ECAPTURE :: Kernel Info : 5.10.110 tls_2022/11/15 09:34:24 EBPFProbeOPENSSL        module initialization tls_2022/11/15 09:34:24 EBPFProbeOPENSSL        master key keylogger: ecapture_masterkey.log tls_2022/11/15 09:34:24 EBPFProbeOPENSSL        Module.Run() tls_2022/11/15 09:34:24 EBPFProbeOPENSSL        UPROBE MODEL tls_2022/11/15 09:34:24 EBPFProbeOPENSSL        OpenSSL/BoringSSL version not found, used default version :android_default tls_2022/11/15 09:34:24 EBPFProbeOPENSSL        HOOK type:2, binrayPath:/apex/com.android.conscrypt/lib64/libssl.so tls_2022/11/15 09:34:24 EBPFProbeOPENSSL        libPthread so Path:/apex/com.android.runtime/lib64/bionic/libc.so tls_2022/11/15 09:34:24 EBPFProbeOPENSSL        target all process. tls_2022/11/15 09:34:24 EBPFProbeOPENSSL        target all users. tls_2022/11/15 09:34:24 EBPFProbeOPENSSL        BPF bytecode filename:user/bytecode/boringssl_1_1_1_kern.o tls_2022/11/15 09:34:24 EBPFProbeOPENSSL        module run failed, [skip it]. error:couldn't init manager error:with the asm method, the constant value has to be of type uint64 , couldn't edit target_port in probe_ret_SSL_read tls_2022/11/15 09:34:24 EBPFProbeGNUTLS module initialization tls_2022/11/15 09:34:24 EBPFProbeGNUTLS Module.Run() tls_2022/11/15 09:34:24 EBPFProbeGNUTLS BPF bytecode filename:user/bytecode/gnutls_kern.o tls_2022/11/15 09:34:24 EBPFProbeGNUTLS module run failed, [skip it]. error:tls(gnutls) module couldn't find binPath stat /apex/com.android.conscrypt/lib64/libgnutls: no such file or directory tls_2022/11/15 09:34:24 EBPFProbeNSPR   module initialization tls_2022/11/15 09:34:24 EBPFProbeNSPR   Module.Run() tls_2022/11/15 09:34:24 EBPFProbeNSPR   BPF bytecode filename:user/bytecode/nspr_kern.o tls_2022/11/15 09:34:24 EBPFProbeNSPR   module run failed, [skip it]. error:tls module couldn't find binPath stat /apex/com.android.conscrypt/lib64/libnspr4.so: no such file or directory tls_2022/11/15 09:34:24 EBPFProbeGoSSL  module [disabled]. tls_2022/11/15 09:34:24 ECAPTURE ::     No runnable modules, Exit(1)

• 后来了解到，导致这个错误的bug已经被修复，只是没有发布新的版本，暂时只能自己编译才能用上了

编译之路

环境：Ubuntu 20.04

配置 Golang

配置 eCapture 编译环境

开始编译

编译成功之后在bin目录下找到可执行文件 ecapture

再次运行

把编译好的ecapture再次放入手机存储空间并运行

运行成功 module started successfully. start 1 modules

接下来准备进一步测试抓包效果，不过模拟器都话很多app可能装不了，有待尝试...

写在最后

我把编译好的文件以附件的形式提交，懒得编译的童靴可以直接下载食用

[培训]科锐软件逆向54期预科班、正式班开始火爆招生报名啦！！！