Как настроить Android и iOS для перехвата трафика через OWASP ZAP
Перехват сетевого трафика помогает разработчикам и тестировщикам проверять запросы мобильного приложения, анализировать ответы сервера и временно подменять данные во время разработки. В этой статье рассмотрим настройку Android- и iOS-устройств, а также эмуляторов и симуляторов для работы с OWASP ZAP.
Инструкция рассчитана на тестирование собственных приложений и устройств либо систем, на проверку которых у вас есть разрешение. Для работы понадобятся компьютер с установленным OWASP ZAP, мобильное устройство или виртуальная среда и подключение к одной сети.
Настройка Android-устройства или эмулятора
Сначала необходимо передать на Android файл корневого сертификата, сохранённый из OWASP ZAP. После этого сертификат устанавливается в системных настройках устройства.
- Откройте настройки Android и найдите раздел, связанный с установкой сертификатов. Обычно для этого достаточно ввести в поиске настроек слово «сертификат» и выбрать пункт «Установка сертификатов».
- Выберите «Сертификат центра сертификации», подтвердите предупреждение о возможном снижении конфиденциальности и укажите ранее переданный файл. После завершения установки система должна показать соответствующее уведомление.
- Повторите процедуру для пункта «Сертификат Wi-Fi». Если Android попросит указать имя сертификата, задайте любое название и подтвердите действие.
Затем нужно направить Wi-Fi-трафик устройства через компьютер с OWASP ZAP. Откройте настройки сети: «Сеть и интернет» → «Интернет», выберите подключённую Wi-Fi-точку и перейдите к редактированию её параметров. В разделе прокси установите режим «Настройка вручную», а в поле имени хоста укажите IP-адрес компьютера с OWASP ZAP. В поле порта укажите порт, настроенный в самом ZAP, после чего сохраните изменения.
Компьютер и Android-устройство должны находиться в одной Wi-Fi-сети. Для эмулятора в списке соединений может отображаться точка доступа AndroidWiFi. После настройки откройте браузер на устройстве и перейдите на любой сайт: запросы и ответы должны появиться в интерфейсе OWASP ZAP.
Если после перезагрузки роутера или повторного подключения компьютера перехват перестал работать, проверьте его IP-адрес. Он может измениться, часто новый адрес начинается с 192.168. В OWASP ZAP его можно обновить в разделе Tools → Options → Network → Local Servers/Proxies, в поле Address. Тот же адрес нужно указать в настройках прокси Android. Чтобы избежать регулярной перенастройки, для компьютера можно назначить постоянный локальный IP в настройках роутера или модема.
Настройка iPhone или iPad
Для iOS также потребуется корневой сертификат OWASP ZAP. Передайте файл на устройство удобным способом и откройте его в файловом менеджере. В появившемся окне выберите iPhone или iPad в качестве места установки. После этого система сообщит о загрузке профиля.
- Откройте «Настройки» → «Основные» → «VPN и управление устройством» и выберите загруженный профиль сертификата.
- Нажмите «Установить», подтвердите предупреждение о непроверенном сертификате и завершите установку профиля.
- Откройте «Настройки» → «Основные» → «Об этом устройстве» → «Доверие сертификатам». Включите доверие для сертификата OWASP ZAP и подтвердите действие в диалоговом окне.
- Перейдите в настройки Wi-Fi, нажмите значок информации рядом с подключённой сетью и прокрутите экран до пункта «HTTP-прокси».
- Выберите режим «Вручную», укажите IP-адрес компьютера с OWASP ZAP в поле «Сервер», а в поле «Порт» задайте порт прокси. Сохраните параметры.
После этого сетевые запросы iOS-устройства должны отображаться в OWASP ZAP. Если соединение не перехватывается, проверьте, что устройство и компьютер подключены к одной сети, а адрес и порт прокси указаны без ошибок.
Настройка iOS-симулятора
У симулятора есть важное отличие от физического устройства: он использует те же сетевые настройки, что и компьютер, на котором запущен. Сертификат в симулятор можно установить перетаскиванием файла в его открытое окно.
- Откройте настройки симулятора и перейдите в раздел «Основные» → «Об этом устройстве» → «Доверие сертификатам». Убедитесь, что сертификат OWASP ZAP включён как доверенный.
- На компьютере откройте настройки Wi-Fi и параметры подключённой точки доступа. Перейдите в раздел прокси и включите «Веб-прокси (HTTP)» и «Защищённый веб-прокси (HTTPS)».
- В полях сервера и порта укажите IP-адрес и порт, заданные в OWASP ZAP.
После сохранения параметров запросы из iOS-симулятора должны появиться в окне OWASP ZAP. Такой вариант удобен для быстрой проверки мобильных сценариев без подключения физического устройства.
Проверка результата
В результате настройки на Android и iOS устанавливается корневой сертификат сниффера, а трафик направляется через локальный прокси OWASP ZAP. Это позволяет просматривать HTTP/HTTPS-запросы и ответы приложения или браузера во время разработки и тестирования.
При работе с HTTPS важно учитывать, что не все приложения примут пользовательский сертификат: этому могут препятствовать настройки безопасности или certificate pinning. Поэтому отсутствие запросов в ZAP не всегда означает ошибку в конфигурации прокси — сначала стоит проверить доверие к сертификату, адрес компьютера, порт и особенности самого приложения.
