Proxy üzerinden SSL Pinning atlatma: Mobil uygulama trafiğini nasıl yakalarım ve testi bozmadan geçerim

```html

Proxy ayarlıyorsunuz, cihazı bağlıyorsunuz - yine de uygulama trafiği göstermiyor veya hata veriyor. Muhtemelen sorun SSL Pinning'den kaynaklanıyor: geliştiricilerin HTTPS isteklerini yakalamayı engellemek için uygulamaya kasıtlı olarak entegre ettikleri bir koruma. Bu, rekabetçi uygulamaların davranışını analiz eden, reklam entegrasyonlarını test eden veya pazar yerlerinin API'lerini inceleyen herkes için baş ağrısıdır.

Bu kılavuzda, SSL Pinning'in ne olduğunu, neden proxy ile çalışmayı engellediğini ve bunu nasıl aşacağımızı adım adım, gereksiz teoriler olmadan inceleyeceğiz.

SSL Pinning nedir ve uygulamalara neden entegre edilir

SSL Pinning (veya Sertifika Pinning) - mobil uygulamanın önceden belirli bir SSL sertifikasını veya sunucunun genel anahtarını kendisine "gömmesi" mekanizmasıdır. Her bağlantıda uygulama, sunucunun sertifikasının içeriğe gömülen sertifika ile eşleşip eşleşmediğini kontrol eder. Eğer eşleşmiyorsa, bağlantı kesilir.

Normal bir HTTPS şemasında, tarayıcı veya uygulama, güvenilir bir sertifika otoritesi (CA) tarafından imzalanmış herhangi bir sertifikaya güvenir. Proxy araçları, Charles Proxy veya mitmproxy gibi, kendi sertifikalarını ekleyerek trafiği şifreler ve daha sonra iletir. Kullanıcı, tüm veri alışverişini açık bir şekilde görür.

SSL Pinning bu şemayı bozar. Uygulama proxy aracının sertifikasını görür, bunun sunucunun "yerel" sertifikasıyla eşleşmediğini anlar ve çalışmayı reddeder. Bu nedenle SSL handshake failed, Certificate verification failed gibi hatalar veya uygulamada sadece boş bir ekran görüyorsunuz.

Geliştiriciler, SSL Pinning'i birkaç nedenle entegre eder:

• Man-in-the-Middle (MITM) saldırılarına karşı koruma
• API'nin tersine mühendisliğini önleme
• Bots ve otomatik isteklerden koruma
• İçerik monetizasyonu ve reklam entegrasyonlarının gizlenmesi

SSL Pinning'i aktif olarak kullanan uygulamalar arasında: banka uygulamaları, pazar yerleri (Wildberries, Ozon), reklam SDK'ları (Facebook, TikTok), ödeme sistemleri ve büyük e-ticaret platformları bulunmaktadır. Bu nedenle, SSL Pinning'i aşmak pazarlamacılar, arbitrajcılar ve rakip analizi uzmanları için çok önemlidir.

Eğer uygulamada SSL Pinning varsa neden proxy çalışmaz

Telefonunuzda bir proxy ayarladığınızda (örneğin, Wi-Fi ayarları üzerinden), tüm HTTP ve HTTPS trafiği proxy sunucusu üzerinden geçer. HTTP için bu sorun olmadan çalışır - trafik zaten açıktır. Ancak HTTPS için proxy aracı, kendi sertifikasını sunucu gibi "tanıtmak" zorundadır.

İşte burada bir çelişki ortaya çıkar. Normal uygulamalar, proxy aracının kök sertifikasını cihazın sistem deposuna yüklediyseniz bu sertifikayı kabul eder. Ancak SSL Pinning olan uygulamalar sistem deposunu göz ardı eder - yalnızca kendi "gömülü" sertifikalarını kontrol ederler.

Önemli olan: sorun proxy sunucusunda (yerel, mobil veya veri merkezi). Proxy burada trafiği yönlendiren bir ara düğüm olarak görev yapar. Sorun, değiştirilmiş sertifikayı kabul etmeyi reddeden uygulamanın kendisindedir. Bu nedenle, çözümü uygulama veya cihaz düzeyinde aramak gerekir, proxy sunucu düzeyinde değil.

Farklı SSL Pinning türleri vardır ve bunlar aşma zorluğuna göre değişir:

Pinning Türü	Ne kontrol edilir	Aşma zorluğu
Sertifika Pinning	Sunucunun tam sertifikası	Orta
Genel Anahtar Pinning	Sertifikadan genel anahtar	Yüksek
Hash Pinning	Sertifika veya anahtarın hash'i	Yüksek
Ağ Güvenliği Yapılandırması	Android yapılandırma dosyası (XML)	Düşük-orta

Trafiği yakalamak için araçlar: Charles, mitmproxy, Burp Suite

SSL Pinning'i aşmadan önce, trafik yakalamak için bir araç seçmeniz gerekir. Hepsi aynı prensipte çalışır: cihazın trafiğinin geçtiği yerel bir proxy sunucusu kurarlar. Fark, kullanım kolaylığı, işlevsellik ve fiyat açısından değişir.

Charles Proxy

Derin teknik bilgiye sahip olmayan pazarlamacılar ve test uzmanları arasında en popüler araçtır. Grafik arayüze sahiptir, Windows ve macOS üzerinde çalışır. Tüm istekleri ve yanıtları kullanışlı bir ağaçta görmenizi sağlar, alan adına göre filtreleme yapabilir, istekleri anında düzenleyebilirsiniz. Ücretlidir, ancak deneme süresi vardır. Pazar yerlerinin API'lerini ve reklam SDK'larını analiz etmek için mükemmel bir seçimdir.

mitmproxy

Ücretsiz ve açık kaynaklı bir araçtır. Komut satırı üzerinden çalışır, ancak bir web arayüzü (mitmweb) vardır. Çok esnektir: trafiği otomatik olarak değiştirmek için betikler destekler. Analizi otomatikleştirmek veya yakalamayı test sürecine entegre etmek isteyenler için iyi bir seçenektir. Charles'tan biraz daha karmaşık bir kurulum gerektirir.

Burp Suite

Güvenlik testleri için profesyonel bir araçtır. Temel işlevselliğe sahip ücretsiz Community sürümü vardır. İsteklerin detaylı analizi, çerezler ve oturumlarla çalışma için özellikle kullanışlıdır. Rakiplerin API'lerini analiz ederken ve reklam entegrasyonlarını araştırırken aktif olarak kullanılır. Arayüzü Charles'tan daha karmaşık, ancak olanakları daha geniştir.

Araç	Arayüz	Fiyat	Kimin için
Charles Proxy	GUI (kullanışlı)	Ücretli (~$50)	Pazarlamacılar, analistler
mitmproxy	CLI + Web UI	Ücretsiz	Teknik uzmanlar
Burp Suite	GUI (karmaşık)	Ücretsiz / Pro	Güvenlik test uzmanları

Pazarlamacı veya arbitrajcı için çoğu görev - reklam isteklerini analiz etme, pazar yerinin API'sini inceleme, uygulama trafiğini izleme - için Charles Proxy en iyi seçim olacaktır. Eğer otomasyon veya GUI'siz çalışma gerekiyorsa - mitmproxy.

SSL Pinning'i aşma yöntemleri: basitlerden ileri düzeylere

SSL Pinning'i aşmanın birkaç yaklaşımı vardır. Bunlar zorluk, cihaz gereksinimleri ve güvenilirlik açısından farklılık gösterir. Her birini inceleyelim - en basitinden en güçlü olanına kadar.

Yöntem 1: Sertifikayı sistem deposuna yükleme (sadece Android)

En basit yöntemdir - ancak yalnızca sistem sertifika deposunu kullanan uygulamalar için çalışır. Android 7.0'dan önce, kullanıcı sertifikaları sistem sertifikalarıyla eşit olarak kabul ediliyordu. Android 7.0'dan itibaren, uygulamalar varsayılan olarak kullanıcı CA'larını göz ardı eder. Eğer uygulama açıkça network_security_config.xml dosyasında kullanıcı sertifikalarına izin veriyorsa - bu yöntem işe yarar. Ancak çoğu modern uygulama için SSL Pinning - bu yöntem işe yaramaz.

Yöntem 2: Frida - uygulamanın dinamik olarak yamanması

Frida, uygulamaların dinamik enstrümantasyonu için bir araçtır. Uygulama içindeki fonksiyon çağrılarını "anlık" yakalamayı ve davranışlarını değiştirmeyi sağlar. SSL Pinning'i aşmak için, APK'yı değiştirmeden sertifika kontrolünü devre dışı bırakan hazır betikler vardır. Android'de root veya iOS'ta jailbreak gerektirir. Bu, en güvenilir ve evrensel yöntemdir.

Yöntem 3: APK'yı yamalama (Android)

APK dosyasını apktool ile dekompile etmek, SSL Pinning kodunu kaldırmak veya değiştirmek, uygulamayı yeniden derlemek ve imzalamak. Root gerektirmez, ancak smali kodu ile çalışmak için teknik beceriler gerektirir. Network Security Config üzerinden basit bir Pinning uygulaması için iyi çalışır. Yerel kod (C/C++) olan uygulamalar için - çok daha karmaşıktır.

Yöntem 4: Objection - yeni başlayanlar için Frida'nın üst katmanı

Objection, daha basit bir komut satırı arayüzüne sahip Frida tabanlı bir araçtır. SSL Pinning'i tek bir komutla aşmak için yerleşik komutlar içerir: android sslpinning disable. Frida betiklerini manuel olarak yazmak istemeyenler için uygundur. Root veya jailbreak gerektirir.

Yöntem 5: Root ile bir emülatör kullanma

Fiziksel bir cihaz yerine, root erişimi açık bir Android emülatörü (örneğin, Genymotion veya Android Studio'dan standart AVD) kullanabilirsiniz. Bu, sistem sertifikalarını yüklemenizi ve Frida'yı çalıştırmanızı sağlar ve gerçek telefonu "brick" etme riski olmadan. Çalışma ortamında düzenli testler için uygun bir seçenektir.

Android'de SSL Pinning'i adım adım aşma

En pratik senaryoyu inceleyelim: root erişimine sahip bir Android cihaz veya emülatör, Objection + Frida aracı, Charles Proxy veya mitmproxy.

Adım 1: Bilgisayarda proxy aracını ayarlayın

Charles Proxy veya mitmproxy'yi başlatın. Varsayılan olarak, 8888 (Charles) veya 8080 (mitmproxy) portunu dinlerler. Proxy ayarlamak için cihazda kullanmanız gereken IP adresini hatırlayın.

Adım 2: Android cihazında proxy ayarlayın

Wi-Fi ayarlarına gidin → ağınızı seçin → "Değiştir"e tıklayın → "Gelişmiş ayarlar" → Proxy: Manuel. Bilgisayarın IP adresini ve aracın portunu belirtin. Artık cihazın tüm trafiği proxy'niz üzerinden geçiyor.

Adım 3: Proxy aracının sertifikasını yükleyin

Cihazda bir tarayıcı açın ve chls.pro/ssl (Charles için) veya mitm.it (mitmproxy için) adresine gidin. Sertifikayı indirin ve yükleyin. Root erişimi olan Android cihazlarda, bazı uygulamalar için sertifikayı sistem deposuna da taşımanız gerekir.

Adım 4: Cihazda Frida-server'ı başlatın

GitHub'dan uygun sürümde frida-server'ı indirin (sürüm, bilgisayardaki Frida sürümüyle eşleşmelidir). ADB üzerinden dosyayı cihaza yükleyin:

adb push frida-server /data/local/tmp/
adb shell "chmod 755 /data/local/tmp/frida-server"
adb shell "su -c /data/local/tmp/frida-server &"

Adım 5: Objection ile bağlanın ve SSL Pinning'i devre dışı bırakın

Bilgisayarda Objection'ı pip ile yükleyin ve uygulamanın paket adını belirterek başlatın:

pip install objection
objection -g com.example.app explore

Bağlandıktan sonra Objection konsolunda SSL Pinning'i devre dışı bırakma komutunu çalıştırın:

android sslpinning disable

Bunun ardından uygulamayı açın ve onunla etkileşime geçin. Trafik, Charles veya mitmproxy'de şifrelenmemiş olarak görünecektir.

Adım 6: Network Security Config olan uygulamalar için

Eğer uygulama network_security_config.xml kullanıyorsa, apktool ile APK'yı dekompile edebilir, bu dosyayı bulabilir ve kullanıcı sertifikalarına izin vermek için düzenleyebilir, ardından APK'yı yeniden derleyip imzalayabilirsiniz. Bu, root gerektirmeden çalışır, ancak uygulamanın imza kontrolünü devre dışı bırakmayı gerektirir.

iOS'ta SSL Pinning'i adım adım aşma

iOS'ta durum daha karmaşıktır: çoğu yöntem için jailbreak gereklidir. Olmadan olanaklar sınırlıdır. Her iki seçeneği de inceleyelim.

Seçenek A: Jailbreak ile (iOS 14-16, checkra1n / palera1n)

Adım 1: Proxy'yi ayarlayın

iPhone'da Ayarlar → Wi-Fi → ağınızı seçin → Proxy'yi ayarlayın → Manuel. Bilgisayarın IP adresini ve Charles/mitmproxy portunu belirtin.

Adım 2: Sertifikayı yükleyin

Safari'yi açın ve chls.pro/ssl adresine gidin. Ayarlar → Genel → VPN ve cihaz yönetimi üzerinden profili yükleyin. Ardından Ayarlar → Genel → Sertifika güveni bölümünde etkinleştirin.

Adım 3: Cydia/Sileo üzerinden SSL Kill Switch 2'yi yükleyin

SSL Kill Switch 2, jailbreak'li iOS için SSL Pinning'i tüm uygulamalar için global olarak devre dışı bırakan bir tweak'tir. Cydia veya Sileo'da bulun, yükleyin, cihazı yeniden başlatın. Bunun ardından çoğu uygulama sertifikaları kontrol etmeyi bırakacak ve trafik Charles'ta görünecektir.

Adım 4: Alternatif - Frida + Objection iOS'ta

Android'deki gibi: Cydia üzerinden frida-server'ı yükleyin, bilgisayarda Objection ile bağlanın ve ios sslpinning disable komutunu çalıştırın. Bu yöntem daha esnektir ve SSL Kill Switch 2'nin kapsamadığı uygulamalar için çalışır.

Seçenek B: Jailbreak olmadan (sınırlı olanaklar)

Jailbreak olmadan iOS'ta SSL Pinning'i aşmak çok daha zordur. Bir seçenek, jailbreak olmadan iOS için SSL Proxying işlevi ile Proxyman aracını kullanmaktır. Proxyman, cihaza özel bir profil yükler ve trafiği yakalamak için VPN arayüzü kullanır. Birçok uygulama için çalışır, ancak sertifikaları sıkı bir şekilde koruyan uygulamalar için her zaman işe yaramaz.

Diğer bir seçenek, Xcode'da iOS simülatörünü kullanmaktır. Simülatör, OS düzeyinde SSL Pinning'e sahip değildir ve birçok uygulama burada çalıştırılabilir (eğer simülatörü destekliyorlarsa). Ancak bu, yalnızca test için uygundur, üretim uygulamalarını analiz etmek için değil.

Mobil uygulamaları test etmek için hangi proxy türünü seçmelisiniz

SSL Pinning aşıldıktan sonra, uygulamanın trafiği proxy aracınızdan (Charles, mitmproxy) geçer. Ancak bazı görevler için trafiği dış bir proxy sunucusu üzerinden yönlendirmek de gerekebilir - örneğin, uygulamanın başka bir bölgeyi veya başka bir IP adresini "görmesi" için. Burada doğru proxy türünü seçmek önemlidir.

Konut Proxy'leri

Konut proxy'leri, gerçek ev kullanıcılarının IP adreslerini kullanır. Mobil uygulamalar, özellikle reklam SDK'ları ve pazar yerleri, bu tür IP'lere veri merkezlerinin adreslerinden çok daha fazla güvenmektedir. Uygulamanın bölgeye göre davranışını analiz ediyorsanız - konut proxy'leri en "temiz" tabloyu sunar, gerçek kullanıcıya yakın bir deneyim sağlar.

Mobil Proxy'ler

Mobil proxy'ler, gerçek mobil ağlar (3G/4G/5G) üzerinden çalışır. Bu, mobil uygulamaları test ederken özellikle önemlidir: mobil ağdan gelen IP, Facebook Ads SDK, TikTok ve diğer reklam platformları tarafından en yüksek güven düzeyine sahiptir. Amacınız, uygulamanın reklam isteklerini analiz etmek veya mobil ortamda SDK'nın davranışını test etmekse, mobil proxy'ler en iyi seçimdir.

Veri Merkezi Proxy'leri

Veri merkezi proxy'leri, hızın önemli olduğu görevler için uygundur, "doğallık" değil: örneğin, açık API'leri toplu olarak taramak veya performans testleri yapmak için. Reklam SDK'ları ve korumalı uygulamalar için daha az tercih edilir, çünkü dolandırıcılık önleme sistemleri tarafından kolayca tanınırlar.

Proxy Türü	Uygulama Güveni	Hız	En İyi Senaryo
Konut	Yüksek	Orta	Bölge analizi, pazar yerleri
Mobil	Maksimum	Orta	Reklam SDK'ları, Facebook, TikTok
Veri Merkezleri	Düşük	Yüksek	Açık API'leri tarama, yük testi

Pratik senaryolar: arbitraj, e-ticaret, pazarlama

Pazarlamacıların ve arbitrajcıların SSL Pinning'i aşmak için gittiği belirli görevleri inceleyelim.

Senaryo 1: Facebook ve TikTok reklam SDK'sının analizi

Facebook Ads ve TikTok Ads ile çalışan arbitrajcılar, genellikle SDK'nın sunucuya hangi verileri gönderdiğini anlamak ister: hangi olayların kaydedildiği, atıf isteklerinin nasıl oluşturulduğu, hangi parametrelerin kampanya optimizasyonunu etkilediği. SSL Pinning'i aşmadan bunu yapmak mümkün değildir - her iki SDK da Sertifika Pinning kullanır.

Frida/Objection ile aşmanın ardından, Charles'ta tüm SDK olaylarını görebiliriz: kurulumlar, satın alımlar, kayıtlar - ve izleme ayarlarının doğru yapıldığından emin olabiliriz. Bu, CAPI (Conversions API) ayarları ve olayların deduplikasyonunu kontrol etmek için özellikle önemlidir.

Senaryo 2: Wildberries ve Ozon'daki fiyatların uygulama üzerinden izlenmesi

Wildberries ve Ozon uygulamaları, API'lerini korumak için SSL Pinning kullanır. Mobil uygulama (web sürümü değil) üzerinden rakip fiyatlarını izlemek isteyen satıcılar, bu koruma ile karşılaşır. SSL Pinning'i aştıktan sonra, API isteklerinin yapısını inceleyebilir ve fiyat, stok ve ürün derecelendirmeleri hakkında veri almak için hangi uç noktaların kullanıldığını anlayabilirsiniz.

Önemli: elde edilen veriler yalnızca kişisel analiz için kullanılabilir. API isteklerini yeniden oynatarak otomatikleştirilmiş bir tarama, platformların kullanım şartlarını ihlal eder.

Senaryo 3: Farklı bölgelerden reklam yaratıcılarının test edilmesi

Facebook Ads ve TikTok Ads'te farklı bölgelerden reklamları test eden pazarlamacılar, uygulamanın belirli bir ülkeden gelen IP ile nasıl davrandığını görmek ister. SSL Pinning'i aşma + gerekli bölgeden konut proxy'si kombinasyonu, o bölgedeki kullanıcılara hangi içerik ve fiyatların gösterildiğini görmenizi sağlar.

Senaryo 4: Kendi uygulamanızın QA testi

Kendi mobil uygulamanızı geliştiriyorsanız veya bir geliştirme ekibiyle çalışıyorsanız, SSL Pinning'i aşarak trafik yakalamak - QA için standart bir uygulamadır. Bu, isteklerin doğruluğunu kontrol etmeyi, veri sızıntılarını bulmayı, analitik ve reklam SDK'larının gerçek koşullarda çalışmasını kontrol etmeyi sağlar.

Senaryo 5: Mobil oyunlar ve uygulamalar alanında rakip analizi

Mobil oyun pazarlamacıları, rakiplerin monetizasyonunu analiz etmek için trafik yakalamayı kullanır: hangi teklifler gösteriliyor, içindeki satın alma sisteminin nasıl çalıştığı, hangi reklam ağlarının kullanıldığı. Bu, daha etkili UA (Kullanıcı Edinimi) ve monetizasyon stratejileri geliştirmeye yardımcı olur.

Kontrol listesi: testi yapmadan önce ayarları kontrol et

Trafiği yakalamaya başlamadan önce, her şeyin doğru ayarlandığından emin olun. İşte tam kontrol listesi:

Sık karşılaşılan sorunlar ve çözümleri

Sorun	Neden	Çözüm
Trafik Charles'ta görünmüyor	Yanlış IP/port proxy	Bilgisayarın IP'sini ve portunu kontrol edin
Charles'ta SSL hatası	Sertifika yüklenmemiş veya etkinleştirilmemiş	Sertifikayı yeniden yükleyin ve etkinleştirin
Frida bağlanmıyor	frida/frida-server sürümleri uyuşmuyor	Sürümleri senkronize edin
Objection Pinning'i devre dışı bırakmıyor	Pinning ile nativ kod (C/C++)	Özel bir Frida betiği kullanın
Uygulama bypass sonrası çöküyor	Uygulama bütünlüğü kontrol ediyor	Ayrıca root tespiti de Objection ile devre dışı bırakın

Sonuç

SSL Pinning - ciddi bir korumadır, ancak aşılmaz değildir. Pazarlamacı veya arbitrajcı için çoğu pratik görev için yeterli olan kombinasyon: root erişimine sahip bir Android emülatörü + Frida/Objection + Charles Proxy. iOS'ta - jailbreak varsa SSL Kill Switch 2 veya yoksa Proxyman. Önemli olan, doğru zinciri ayarlamak: bilgisayardaki proxy aracı → trafiği onun üzerinden geçirme → cihazda Pinning'i aşma.

Unutmayın ki, üçüncü taraf uygulamalarda SSL Pinning'i aşmak yalnızca kişisel analiz ve araştırma için geçerlidir. Otomatikleştirilmiş tarama ve API isteklerini yeniden oynatma, çoğu platformun kullanım şartlarını ihlal eder.

Amacınız, mobil uygulamaların trafiğini farklı bölgelerde analiz etmek veya belirli ülkelerden reklam SDK'larının davranışını test etmekse, yalnızca SSL Pinning'i aşmakla kalmayıp, aynı zamanda kaliteli bir proxy sunucusuna da ihtiyacınız olacak. Reklam platformları (Facebook Ads, TikTok Ads) ve pazar yerleri ile çalışmak için mobil proxy'leri kullanmanızı öneririz - bunlar dolandırıcılık önleme sistemleri tarafından en yüksek güven düzeyine sahiptir ve gerçek mobil ortamı doğru bir şekilde taklit etmenizi sağlar.