تجاوز تثبيت SSL عبر الوكيل: كيفية اعتراض حركة مرور تطبيق الهاتف المحمول دون كسر الاختبار

```html

تقوم بإعداد الوكيل، وتوصيل الجهاز - ومع ذلك لا يظهر التطبيق حركة المرور أو يتعطل بخطأ. من المحتمل أن تكون المشكلة في SSL Pinning: الحماية التي يدمجها المطورون عمدًا في التطبيق لمنع اعتراض طلبات HTTPS. هذه مشكلة كبيرة لكل من يحلل سلوك التطبيقات المنافسة، أو يختبر تكامل الإعلانات، أو يدرس واجهات برمجة التطبيقات (APIs) للمتاجر الإلكترونية.

في هذا الدليل، سنستعرض ما هو SSL Pinning، ولماذا يعيق العمل مع الوكيل، وكيفية تجاوزه - خطوة بخطوة، دون نظرية زائدة.

ما هو SSL Pinning ولماذا يتم دمجه في التطبيقات

SSL Pinning (أو Certificate Pinning) هو آلية أمان حيث يقوم التطبيق المحمول مسبقًا "بدمج" شهادة SSL معينة أو مفتاح عام للخادم. عند كل اتصال، يتحقق التطبيق مما إذا كانت شهادة الخادم تتطابق مع تلك المدمجة داخله؟ إذا لم تكن كذلك - يتم قطع الاتصال.

في مخطط HTTPS العادي، يثق المتصفح أو التطبيق في أي شهادة موقعة من قبل مركز اعتماد موثوق (CA). وهذا ما تستفيد منه أدوات الوكيل مثل Charles Proxy أو mitmproxy: حيث تقوم بإدخال شهادتها، وفك تشفير حركة المرور، وإعادة توجيهها. يرى المستخدم كل تبادل البيانات بشكل مفتوح.

يكسر SSL Pinning هذا المخطط. يرى التطبيق شهادة أداة الوكيل، ويدرك أنها لا تتطابق مع الشهادة "الأصلية" للخادم، ويرفض العمل. لهذا السبب ترى أخطاء مثل فشل مصافحة SSL، فشل التحقق من الشهادة أو ببساطة شاشة فارغة في التطبيق.

يقوم المطورون بتطبيق SSL Pinning لعدة أسباب:

• الحماية من هجمات Man-in-the-Middle (MITM)
• منع الهندسة العكسية لواجهة برمجة التطبيقات (API)
• الحماية من الروبوتات والطلبات الآلية
• إخفاء المنطق الداخلي للت monetization والتكاملات الإعلانية

من بين التطبيقات التي تستخدم SSL Pinning بنشاط: التطبيقات المصرفية، المتاجر الإلكترونية (Wildberries، Ozon)، SDKs الإعلانات (Facebook، TikTok)، أنظمة الدفع ومنصات التجارة الإلكترونية الكبيرة. لهذا السبب، يعد تجاوز SSL Pinning مهمًا جدًا للمسوقين، والمتحكمين، والمتخصصين في تحليل المنافسين.

لماذا لا يعمل الوكيل إذا كان في التطبيق SSL Pinning

عندما تقوم بإعداد الوكيل على الهاتف (على سبيل المثال، عبر إعدادات Wi-Fi)، تمر كل حركة مرور HTTP وHTTPS عبر خادم الوكيل. بالنسبة لـ HTTP، يعمل ذلك دون مشاكل - فالحركة مفتوحة بالفعل. ولكن بالنسبة لـ HTTPS، يجب على أداة الوكيل "أن تتظاهر" بأنها الخادم، من خلال إدخال شهادتها.

هنا يحدث الصراع. تقبل التطبيقات العادية هذه الشهادة إذا قمت بتثبيت الشهادة الجذرية لأداة الوكيل في مخزن النظام للجهاز. لكن التطبيقات التي تحتوي على SSL Pinning تتجاهل مخزن النظام - فهي تتحقق فقط من شهادتها "المدمجة".

من المهم أن نفهم: المشكلة ليست في خادم الوكيل (السكني، المحمول أو مركز البيانات). يعمل الوكيل هنا كعقدة وسيطة لتوجيه الحركة. المشكلة تكمن في التطبيق نفسه، الذي يرفض قبول الشهادة المعدلة. لذلك، يجب البحث عن الحل على مستوى التطبيق أو الجهاز، وليس على مستوى خادم الوكيل.

هناك عدة أنواع من SSL Pinning، وتختلف في صعوبة التجاوز:

نوع Pinning	ما الذي يتم التحقق منه	صعوبة التجاوز
Certificate Pinning	الشهادة الكاملة للخادم	متوسطة
Public Key Pinning	المفتاح العام من الشهادة	عالية
Hash Pinning	هاش الشهادة أو المفتاح	عالية
Network Security Config	ملف التكوين لنظام Android (XML)	منخفضة-متوسطة

أدوات اعتراض حركة المرور: Charles، mitmproxy، Burp Suite

قبل الانتقال إلى تجاوز SSL Pinning، يجب اختيار أداة لاعتراض حركة المرور. جميعها تعمل وفق نفس المبدأ: رفع خادم وكيل محلي، تمر من خلاله حركة مرور الجهاز. الفرق هو في الراحة، والميزات، والسعر.

Charles Proxy

الأداة الأكثر شعبية بين المسوقين والمختبرين الذين ليس لديهم خلفية تقنية عميقة. تحتوي على واجهة رسومية، وتعمل على Windows وmacOS. تتيح رؤية جميع الطلبات والردود في شجرة مريحة، وتصفية حسب النطاق، وتعديل الطلبات في الوقت الفعلي. مدفوعة، ولكن هناك فترة تجريبية. مناسبة جدًا لتحليل واجهات برمجة التطبيقات للمتاجر الإلكترونية وSDKs الإعلانات.

mitmproxy

أداة مجانية مفتوحة المصدر. تعمل عبر سطر الأوامر، ولكن هناك واجهة ويب (mitmweb). مرنة جدًا: تدعم السكربتات لتعديل حركة المرور تلقائيًا. مناسبة جدًا لمن يريد أتمتة التحليل أو دمج الاعتراض في خط أنابيب الاختبار. أكثر تعقيدًا في الإعداد من Charles.

Burp Suite

أداة احترافية لاختبار الأمان. تحتوي على إصدار مجاني Community مع ميزات أساسية. مريحة بشكل خاص لتحليل الطلبات بالتفصيل، والعمل مع الكوكيز والجلسات. تُستخدم بنشاط عند تحليل واجهات برمجة التطبيقات للمنافسين ودراسة التكاملات الإعلانية. واجهتها أكثر تعقيدًا من Charles، ولكن إمكانياتها أوسع.

الأداة	واجهة المستخدم	السعر	لمن
Charles Proxy	واجهة رسومية (مريحة)	مدفوعة (~$50)	المسوقون، المحللون
mitmproxy	واجهة سطر الأوامر + واجهة ويب	مجاني	المتخصصون الفنيون
Burp Suite	واجهة رسومية (معقدة)	مجاني / محترف	مختبرو الأمان

لمعظم مهام المسوق أو المتحكم - تحليل طلبات الإعلانات، دراسة واجهة برمجة التطبيقات للمتجر الإلكتروني، مراقبة حركة مرور التطبيق - سيكون Charles Proxy هو الخيار الأمثل. إذا كنت بحاجة إلى الأتمتة أو العمل بدون واجهة رسومية - استخدم mitmproxy.

طرق تجاوز SSL Pinning: من البسيطة إلى المتقدمة

هناك عدة طرق لتجاوز SSL Pinning. تختلف في الصعوبة، ومتطلبات الجهاز، والموثوقية. دعونا نستعرض كل منها - من الأسهل إلى الأكثر قوة.

الطريقة 1: تثبيت الشهادة في مخزن النظام (فقط Android)

أسهل طريقة - لكنها تعمل فقط للتطبيقات التي تستخدم مخزن النظام للشهادات. على Android حتى الإصدار 7.0، كانت الشهادات المخصصة مقبولة على قدم المساواة مع الشهادات النظامية. بدءًا من Android 7.0، تتجاهل التطبيقات الشهادات المخصصة بشكل افتراضي. إذا كان التطبيق يسمح صراحةً بالشهادات المخصصة في network_security_config.xml - ستعمل هذه الطريقة. بالنسبة لمعظم التطبيقات الحديثة مع SSL Pinning - لن تساعد.

الطريقة 2: Frida - تصحيح ديناميكي للتطبيق

Frida هي أداة للحقن الديناميكي للتطبيقات. تتيح لك "اعتراض" استدعاءات الوظائف داخل التطبيق وتغيير سلوكها في الوقت الفعلي. لتجاوز SSL Pinning، توجد سكربتات جاهزة تعطل التحقق من الشهادة دون تعديل APK. تتطلب صلاحيات الروت على Android أو كسر الحماية على iOS. هذه هي الطريقة الأكثر موثوقية ومرونة.

الطريقة 3: تصحيح APK (Android)

فك تجميع ملف APK باستخدام apktool، وإزالة أو تعديل كود SSL Pinning، وإعادة تجميع وتوقيع التطبيق. لا تتطلب صلاحيات الروت، ولكنها تتطلب مهارات تقنية للعمل مع كود smali. تعمل بشكل جيد للتطبيقات ذات التنفيذ البسيط لـ Pinning عبر Network Security Config. بالنسبة للتطبيقات ذات الكود الأصلي (C/C++) - تكون أكثر تعقيدًا بشكل ملحوظ.

الطريقة 4: Objection - غلاف حول Frida للمبتدئين

Objection هي أداة قائمة على Frida مع واجهة سطر أوامر أكثر بساطة. تحتوي على أوامر مدمجة لتجاوز SSL Pinning بأمر واحد: android sslpinning disable. مناسبة لأولئك الذين لا يريدون التعامل مع كتابة سكربتات Frida يدويًا. تتطلب صلاحيات الروت أو كسر الحماية.

الطريقة 5: استخدام محاكي مع صلاحيات الروت

بدلاً من جهاز فعلي، يمكنك استخدام محاكي Android (مثل Genymotion أو AVD القياسي من Android Studio) مع تفعيل صلاحيات الروت. يتيح ذلك تثبيت الشهادات النظامية وتشغيل Frida دون خطر "تجميد" الهاتف الحقيقي. خيار مريح للاختبار المنتظم في بيئة العمل.

تجاوز SSL Pinning خطوة بخطوة على Android

دعونا نستعرض السيناريو الأكثر عملية: جهاز Android أو محاكي مع صلاحيات الروت، أداة Objection + Frida، أداة الوكيل Charles Proxy أو mitmproxy.

الخطوة 1: إعداد أداة الوكيل على الكمبيوتر

قم بتشغيل Charles Proxy أو mitmproxy. بشكل افتراضي، تستمع إلى المنفذ 8888 (Charles) أو 8080 (mitmproxy). تذكر عنوان IP لجهاز الكمبيوتر الخاص بك في الشبكة المحلية - ستحتاجه لإعداد الوكيل على الجهاز.

الخطوة 2: إعداد الوكيل على جهاز Android

انتقل إلى إعدادات Wi-Fi → اختر شبكتك → اضغط على "تعديل" → "خيارات متقدمة" → الوكيل: يدوي. أدخل IP الكمبيوتر ومنفذ الأداة. الآن، تمر كل حركة مرور الجهاز عبر وكيلك.

الخطوة 3: تثبيت شهادة أداة الوكيل

افتح المتصفح على الجهاز وانتقل إلى العنوان chls.pro/ssl (لـ Charles) أو mitm.it (لـ mitmproxy). قم بتنزيل وتثبيت الشهادة. على Android مع صلاحيات الروت، انقل الشهادة إلى مخزن النظام - هذا ضروري لبعض التطبيقات.

الخطوة 4: تشغيل خادم Frida على الجهاز

قم بتنزيل خادم frida بالإصدار المطلوب من GitHub (يجب أن يتطابق الإصدار مع إصدار Frida على الكمبيوتر). قم بتحميل الملف على الجهاز عبر ADB:

adb push frida-server /data/local/tmp/
adb shell "chmod 755 /data/local/tmp/frida-server"
adb shell "su -c /data/local/tmp/frida-server &"

الخطوة 5: الاتصال عبر Objection وتعطيل SSL Pinning

على الكمبيوتر، قم بتثبيت Objection عبر pip وابدأ تشغيله، مع تحديد اسم حزمة التطبيق:

pip install objection
objection -g com.example.app explore

بعد الاتصال، نفذ في وحدة التحكم Objection أمر تعطيل SSL Pinning:

android sslpinning disable

بعد ذلك، افتح التطبيق وابدأ في التفاعل معه. ستظهر حركة المرور في Charles أو mitmproxy بشكل مفكك.

الخطوة 6: للتطبيقات مع Network Security Config

إذا كان التطبيق يستخدم network_security_config.xml، يمكنك فك تجميع APK عبر apktool، والعثور على هذا الملف وإضافة إذن للشهادات المخصصة، ثم إعادة تجميع وإعادة توقيع APK. يعمل هذا بدون صلاحيات الروت، ولكنه يتطلب تعطيل التحقق من توقيع التطبيق.

تجاوز SSL Pinning خطوة بخطوة على iOS

على iOS، الوضع أكثر تعقيدًا: تتطلب معظم الطرق كسر الحماية. بدون ذلك، تكون الإمكانيات محدودة. دعونا نستعرض كلا الخيارين.

الخيار أ: مع كسر الحماية (iOS 14-16، checkra1n / palera1n)

الخطوة 1: إعداد الوكيل

على iPhone، انتقل إلى الإعدادات → Wi-Fi → شبكتك → إعداد الوكيل → يدوي. أدخل IP الكمبيوتر ومنفذ Charles/mitmproxy.

الخطوة 2: تثبيت الشهادة

افتح Safari وانتقل إلى chls.pro/ssl. قم بتثبيت الملف عبر الإعدادات → عام → VPN وإدارة الجهاز. ثم قم بتفعيله في الإعدادات → عام → الثقة في الشهادات.

الخطوة 3: تثبيت SSL Kill Switch 2 عبر Cydia/Sileo

SSL Kill Switch 2 هو تعديل لكسر الحماية على iOS، يقوم بتعطيل SSL Pinning عالميًا لجميع التطبيقات. ابحث عنه في Cydia أو Sileo، وثبته، ثم أعد تشغيل الجهاز. بعد ذلك، ستتوقف معظم التطبيقات عن التحقق من الشهادات، وستكون حركة المرور مرئية في Charles.

الخطوة 4: بديل - Frida + Objection على iOS

كما هو الحال في Android: قم بتثبيت خادم frida عبر Cydia، واتصل عبر Objection على الكمبيوتر ونفذ ios sslpinning disable. هذه الطريقة أكثر مرونة وتعمل للتطبيقات التي لا يغطيها SSL Kill Switch 2.

الخيار ب: بدون كسر الحماية (إمكانيات محدودة)

بدون كسر الحماية، يكون تجاوز SSL Pinning على iOS أكثر صعوبة بشكل ملحوظ. واحدة من الخيارات هي استخدام أداة Proxyman مع ميزة SSL Proxying لنظام iOS بدون كسر الحماية. يقوم Proxyman بتثبيت ملف تعريف خاص على الجهاز ويستخدم واجهة VPN لاعتراض حركة المرور. يعمل مع العديد من التطبيقات، ولكن ليس مع جميعها التي تحتوي على Pinning صارم.

خيار آخر هو استخدام محاكي iOS في Xcode. لا يحتوي المحاكي على SSL Pinning على مستوى النظام، ويمكن تشغيل العديد من التطبيقات فيه (إذا كانت تدعم المحاكي). لكن هذا مناسب فقط للاختبار، وليس لتحليل التطبيقات الإنتاجية.

ما هو نوع الوكيل الذي يجب اختياره لاختبار التطبيقات المحمولة

بعد تجاوز SSL Pinning، تمر حركة مرور التطبيق عبر أداة الوكيل الخاصة بك (Charles، mitmproxy). ولكن لبعض المهام، تحتاج أيضًا إلى توجيه الحركة عبر خادم وكيل خارجي - على سبيل المثال، لجعل التطبيق "يرى" منطقة أخرى أو عنوان IP آخر. هنا من المهم اختيار نوع الوكيل بشكل صحيح.

الوكلاء السكنيون

الوكلاء السكنيون يستخدمون عناوين IP لمستخدمين حقيقيين في المنازل. تثق التطبيقات المحمولة، خاصة SDKs الإعلانات والمتاجر الإلكترونية، بهذه العناوين أكثر بكثير من عناوين مراكز البيانات. إذا كنت تحلل سلوك التطبيق حسب المنطقة - ستوفر الوكلاء السكنيون الصورة الأكثر "نقاءً"، القريبة من المستخدم الحقيقي.

الوكلاء المحمولون

الوكلاء المحمولون يعملون عبر شبكات المحمول الحقيقية (3G/4G/5G). هذا مهم بشكل خاص عند اختبار التطبيقات المحمولة: يكون عنوان IP من شبكة المحمول هو الأكثر موثوقية لدى Facebook Ads SDK، TikTok وغيرها من منصات الإعلانات. إذا كانت هدفك هو تحليل طلبات الإعلانات للتطبيق أو اختبار سلوك SDK في بيئة محمولة، فإن الوكلاء المحمولين هم الخيار الأمثل.

وكلاء مراكز البيانات

تناسب وكلاء مراكز البيانات المهام التي تكون فيها السرعة مهمة، وليس "طبيعية" IP: على سبيل المثال، لجمع البيانات من واجهات برمجة التطبيقات المفتوحة أو اختبار الأداء. بالنسبة لتحليل SDKs الإعلانات والتطبيقات المحمية، فهي أقل تفضيلًا، حيث يسهل التعرف عليها من قبل أنظمة مكافحة الاحتيال.

نوع الوكيل	ثقة التطبيقات	سرعة	أفضل سيناريو
سكني	مرتفع	متوسطة	تحليل حسب المناطق، المتاجر الإلكترونية
محمول	أقصى	متوسطة	SDKs الإعلانات، Facebook، TikTok
مراكز البيانات	منخفضة	عالية	جمع البيانات من واجهات برمجة التطبيقات المفتوحة، اختبار الحمل

سيناريوهات عملية: التحكيم، التجارة الإلكترونية، التسويق

دعونا نستعرض المهام المحددة التي من أجلها يسعى المسوقون والمتحكمون لتجاوز SSL Pinning.

السيناريو 1: تحليل SDK الإعلانات لـ Facebook وTikTok

غالبًا ما يرغب المتحكمون الذين يعملون مع Facebook Ads وTikTok Ads في فهم البيانات التي يرسلها SDK إلى الخادم: ما هي الأحداث التي يتم تسجيلها، كيف يتم تشكيل طلبات التخصيص، وما هي المعلمات التي تؤثر على تحسين الحملات. بدون تجاوز SSL Pinning، يكون ذلك مستحيلًا - كلا SDK يستخدمان Certificate Pinning.

بعد التجاوز عبر Frida/Objection، يمكنك رؤية جميع أحداث SDK في Charles: التثبيتات، المشتريات، التسجيلات - والتأكد من أن التتبع مضبوط بشكل صحيح. هذا مهم بشكل خاص عند إعداد CAPI (واجهة برمجة التطبيقات للتحويلات) والتحقق من عدم تكرار الأحداث.

السيناريو 2: مراقبة الأسعار على Wildberries وOzon عبر التطبيق

تستخدم تطبيقات Wildberries وOzon SSL Pinning لحماية واجهات برمجة التطبيقات الخاصة بها. يواجه البائعون الذين يرغبون في مراقبة أسعار المنافسين عبر التطبيق المحمول (وليس النسخة الويب) هذه الحماية. بعد تجاوز SSL Pinning، يمكنك دراسة هيكل طلبات واجهة برمجة التطبيقات وفهم النقاط النهائية المستخدمة للحصول على بيانات الأسعار، والتوافر، وتقييم المنتجات.

من المهم: يمكن استخدام البيانات المستخرجة فقط للتحليل الشخصي. إن جمع البيانات بشكل آلي عبر إعادة إنتاج طلبات واجهة برمجة التطبيقات ينتهك شروط استخدام المنصات.

السيناريو 3: اختبار الإعلانات الإبداعية من مناطق مختلفة

يرغب المسوقون الذين يختبرون الإعلانات في Facebook Ads وTikTok Ads من مناطق مختلفة في رؤية كيف يتصرف التطبيق عند الاتصال عبر IP من دولة معينة. تتيح مجموعة تجاوز SSL Pinning + الوكيل السكني من المنطقة المطلوبة رؤية المحتوى والأسعار التي تظهر للمستخدمين من تلك المنطقة.

السيناريو 4: اختبار ضمان الجودة لتطبيقك الخاص

إذا كنت تقوم بتطوير تطبيقك المحمول الخاص أو تعمل مع فريق التطوير، فإن اعتراض حركة المرور مع تجاوز SSL Pinning هو ممارسة قياسية لضمان الجودة. يتيح لك التحقق من صحة الطلبات، والعثور على تسريبات البيانات، والتحقق من عمل التحليلات وSDKs الإعلانات في ظروف حقيقية قبل الإصدار.

السيناريو 5: تحليل المنافسين في مجال الألعاب والتطبيقات المحمولة

يستخدم مسوقو الألعاب المحمولة اعتراض حركة المرور لتحليل تحقيق الدخل من المنافسين: ما هي العروض المعروضة، كيف تعمل نظام الشراء داخل اللعبة، وما هي الشبكات الإعلانية المستخدمة. يساعد ذلك في بناء استراتيجيات أكثر فعالية لاكتساب المستخدمين (UA) وتحقيق الدخل.

قائمة التحقق: تحقق من الإعداد قبل الاختبار

قبل البدء في اعتراض حركة المرور، تأكد من أن كل شيء مُعد بشكل صحيح. إليك قائمة التحقق الكاملة:

المشاكل الشائعة وحلولها

المشكلة	السبب	الحل
لا تظهر الحركة في Charles	IP/منفذ الوكيل غير صحيح	تحقق من IP الكمبيوتر والمنفذ
خطأ SSL في Charles	الشهادة غير مثبتة أو غير مفعلة	أعد تثبيت وتفعيل الشهادة
Frida لا تتصل	عدم تطابق إصدارات frida/frida-server	تزامن الإصدارات
Objection لا تعطل Pinning	كود أصلي (C/C++) مع Pinning	استخدم سكربت Frida مخصص
يتعطل التطبيق بعد التجاوز	يتحقق التطبيق من سلامته	قم أيضًا بتعطيل كشف الروت عبر Objection

الخاتمة

SSL Pinning هو حماية خطيرة، ولكنها ليست غير قابلة للتجاوز. لمعظم المهام العملية للمسوق أو المتحكم، يكفي الربط: محاكي Android مع صلاحيات الروت + Frida/Objection + Charles Proxy. على iOS - SSL Kill Switch 2 عند وجود كسر حماية أو Proxyman بدونه. الأهم هو إعداد السلسلة بشكل صحيح: أداة الوكيل على الكمبيوتر → حركة المرور من خلالها → تجاوز Pinning على الجهاز.

تذكر أن تجاوز SSL Pinning في التطبيقات الخارجية مسموح به فقط للتحليل الشخصي والدراسة. إن جمع البيانات بشكل آلي وإعادة إنتاج طلبات واجهة برمجة التطبيقات ينتهك شروط استخدام معظم المنصات.

إذا كانت مهمتك هي تحليل حركة مرور التطبيقات المحمولة في مناطق مختلفة أو اختبار سلوك SDKs الإعلانات من دول معينة، فستحتاج إلى تجاوز SSL Pinning، ولكن أيضًا إلى خادم وكيل عالي الجودة. للعمل مع منصات الإعلانات (Facebook Ads، TikTok Ads) والمتاجر الإلكترونية، نوصي باستخدام الوكلاء المحمولين - لديهم أعلى مستوى من الثقة لدى أنظمة مكافحة الاحتيال ويسمحون بمحاكاة البيئة المحمولة الحقيقية بشكل صحيح.