Как настроить Android и iOS для перехвата трафика через OWASP ZAP
Для перехвата интернет-трафика на Android и iOS с помощью сниффера OWASP ZAP нужно установить на устройство root-сертификат инструмента и указать прокси в настройках Wi-Fi. Устройство и компьютер с OWASP ZAP должны быть подключены к одной точке доступа.
На Android файл сертификата устанавливают через системные настройки: в поиске вводят «сертификат», выбирают «Установка сертификатов» и пункт «Сертификат центра сертификации». Ту же процедуру повторяют для пункта «Сертификат Wi-Fi». Затем в настройках подключённой сети выбирают настройку прокси вручную и указывают IP-адрес и порт компьютера с OWASP ZAP.
Если точку доступа или компьютер перезагружали, IP-адрес ПК может измениться и перехват прекратится. Тогда в OWASP ZAP в разделе Tools → Options → Network → Local Servers/Proxies выбирают актуальный адрес, обычно начинающийся на 192.168, и прописывают его заново в настройках Wi-Fi и прокси на устройстве. Чтобы адрес не менялся, в настройках роутера можно назначить компьютеру постоянный IP.
На iOS сертификат передают на устройство через файловый менеджер, затем устанавливают профиль через «Основные» → «VPN и управление устройством». После предупреждения о непроверенном сертификате нужно сделать его доверенным в разделе «Об этом устройстве» → «Доверие сертификатам».
Прокси на iOS настраивают в сведениях о Wi-Fi-сети: в пункте «HTTP-прокси» выбирают ручной режим и указывают сервер и порт OWASP ZAP. В iOS-симуляторе сертификат устанавливают перетаскиванием файла в окно симулятора, а прокси прописывают в настройках Wi-Fi самого компьютера, поскольку симулятор использует его сетевое подключение.
После установки сертификатов и настройки прокси запросы и ответы устройств отображаются в OWASP ZAP. В следующих материалах цикла авторы обещают разобрать настройку ПК для перехвата трафика из браузера и десктопных приложений, а также связку OWASP ZAP с инструментом мокирования Mockoon.