BurpSuite代理拦截App流量 家宽异常热点正常故障排查咨询

这类问题在移动应用渗透测试过程中比较常见，不少测试人员都碰到过同设备、同Burp配置、同App安装包，仅切换网络环境就出现代理拦截异常的情况，不属于App本身的*证书钉扎（certificate pinning）*逻辑问题。

• 家宽出口的运营商透明代理劫持
  部分家庭宽带的运营商会在出口链路部署透明代理，在特定时段对HTTPS流量做中间人替换，实现内容审计、广告注入等逻辑。开启Burp代理时会形成两层MITM嵌套：Burp向测试终端下发自签根证书，运营商透明代理又向Burp替换自身的证书，最终App侧完成TLS校验时拿到的证书链和预期服务端证书不匹配，就会抛出和证书钉扎失败高度相似的连接错误。直连状态下，运营商透明代理的根证书大多预置在移动操作系统的根信任库中，App可以正常完成校验；切换到移动热点时走蜂窝网络出口，没有这层透明代理逻辑，Burp的单层中间人拦截可以正常工作。
• 家用网关/路由器的HTTPS过滤功能触发
  多数品牌的家用路由器、运营商定制光猫都自带“HTTPS安全检测”“儿童上网管控”“网页广告拦截”类功能，这类功能的实现逻辑同样是局域网网关层的HTTPS中间人解密。开启Burp时同样会出现两层MITM嵌套导致证书校验失败，直连时网关下发的证书不会触发系统证书告警，换热点绕开家庭网关后逻辑恢复正常。
• 家宽链路MTU值与Burp转发规则冲突
  部分家庭宽带链路的MTU值设置低于常规以太网标准值，Burp默认的TLS报文分片规则和链路MTU不匹配时，会导致登录类POST请求的大报文被丢弃、TLS握手分片异常，App侧收不到服务端合法响应就会报连接错误，表现和证书钉扎失效完全一致。
• 家宽环境DNS调度异常
  Burp默认使用所在网络的DNS服务器做域名解析，如果家宽侧的LocalDNS把App认证接口的域名调度到了异常的缓存节点、高防节点，这类节点对带代理特征的TLS流量校验规则更严格，会直接拦截握手请求；直连时DNS调度到正常服务节点即可正常访问，切换热点后使用蜂窝网络DNS解析到正常节点，所有功能恢复。

• 在家宽代理环境下，直接查看Burp中App登录接口的TLS握手证书链，如果出现非服务端官方所属的证书主体（带运营商、路由器相关标识），即可确认是多层MITM嵌套导致的问题
• 将测试设备直接连接光猫默认无线信号，跳过自购路由器测试，如果功能恢复即可定位为路由器配置问题
• 给Burp配置走移动热点的上游代理，家宽环境下如果拦截功能恢复正常，即可定位为家宽出口链路问题
• 手动将Burp监听端口的MTU值调整为1400，同时关闭Burp的HTTP/2、TLS 1.3自动协商功能，测试登录功能是否恢复，可验证是否是MTU冲突问题

内容的提问来源于stack exchange，提问作者inf0s3c