モバイルアプリ開発者のための mitmproxy 入門

mitmproxy とは mitm (Man-in-the-Middle) proxy とは、マンインザミドル型のプロキシである通常のプロキシができることはだいたいできる通信の傍受通信の改竄
リプレイモバイル向けのサポートが手厚い Android / iOS / browser ssh 通信もサポート Wi-fi 接続時のみ使用可能

セットアップはとても簡単 1. mitmproxy を自分のマシンにインストールして起動 2. Android/iPhone のネットワーク設定を変更してプロキシに、
ステップ 1. で起動した mitmproxy の情報を指定 3. 端末のブラウザで http://mitm.it にアクセス 4. 対応するアイコンをタップして証明書をインストール

mitmproxy でできること

通信の傍受端末が行っている通信を全部見られる `l' キーでフィルタリング URL だけでなく、ヘッダやボディも指定可能 `F' キー
でフォワーディング・モード

通信の改竄 `i' キーで intercept するパターンを指定できる intercept した通信は、リクエスト内容やレスポンス内容を
改竄可能ボディだけでなく、メソッドやヘッダも編集できる

リプレイ一度行った通信を編集して、もう一度通信することができる下の図は、mitmproxy のサイトに載っていた、リプレイでハイスコアを記録した例ハイスコアが 2^31
- 1 = 2,147,483,647 になっている

スクリプト通信内容の改竄などは、手動でやらなくても、スクリプト (Python) で自動化できる > mitmproxy -s "path_to_the_script
[arg1] [arg2]..."

便利なスクリプト (1) レスポンス内容の強制置換 # -*- coding: utf-8 -*- def response(context,
flow): path = flow.request.path if path.startswith('/1.0/getRecommendedArticles'): flow.response.replace("艦これ", "HOGEHOGE")

便利なスクリプト (2) 擬似的な不安定なネットワークランダムにリクエストを kill して接続が切断された状態を再現する # -*-
coding: utf-8 -*- import random def start(ctx, argv): if len(argv) != 3: raise ValueError('Usage: -s "pseudo_unstable_network.py hostname percentage(0-10)"') # You may want to use Python's argparse for more sophisticated argument parsing. ctx.arg1, ctx.arg2 = argv[1], argv[2] def request(context, flow): host = flow.request.host if host.endswith(context.arg1) and random.randint(0, 10) <= int(context.arg2): context.log("Kill the request for %s. Host: %s" % (flow.request.get_url(), host)) flow.kill(context._master) > mitmproxy -s "./pseudo_unstable_network.py api.example.com 8"

mitmproxy を使った開発通信内容の確認クライアントとサーバー、どちらに問題があるか調べるアプリ開発者以外もカジュアルに挙動を確認できるテスト特定の条件を満たさないと発生しないようなリクエストのテストをしたい
予期しないレスポンスが返ってきたときにアプリがクラッシュしないか調べる通信が返ってこない、途中で通信が切れるなどの不安定な状況でアプリが正常に動作するか確認する

みなさんも mitmproxy で快適なアプリ開発を!

モバイルアプリ開発者のための mitmproxy 入門

モバイルアプリ開発者のための mitmproxy 入門

Hiroshi Kurokawa

More Decks by Hiroshi Kurokawa

Other Decks in Technology

Featured

Transcript