如何拦截Android应用的Firebase调用网络请求流量

抓包失败的核心原因 #

• 证书信任限制：Android 7+默认不信任用户安装的根证书，若应用开启SSL证书绑定，会直接拒绝代理工具的证书，导致流量无法被捕获
• 传输协议问题：Firebase SDK默认优先使用QUIC（HTTP3）协议，走UDP传输，多数抓包工具默认只拦截TCP流量
• 协议解析配置缺失：部分Firebase请求使用gRPC/Protobuf二进制协议，未开启对应解析功能的抓包工具只会显示不可读的二进制内容，容易被误认为没抓到请求

具体解决方法 #

• 绕过SSL证书校验
  如果你使用root后的测试设备，直接将HTTP Toolkit的根证书移动到系统证书目录/system/etc/security/cacerts/，修改权限为644后重启设备即可；也可以通过LSPosed框架安装JustTrustMe、TrustMeAlready等模块，直接禁用目标应用的所有SSL证书绑定逻辑，无需修改系统证书。
• 强制禁用QUIC协议
  先在抓包工具的配置中开启UDP 443端口的流量拦截功能，HTTP Toolkit可在设置中开启「捕获QUIC流量」选项；如果是第三方应用无法修改源码，可以通过iptables规则iptables -A OUTPUT -p udp --dport 443 -j DROP禁用UDP 443端口传输，强制Firebase SDK回退到TCP传输的HTTP/2或HTTP/1.1协议，即可被常规抓包工具捕获。
• 开启gRPC/Protobuf解析
  进入HTTP Toolkit的设置页面，开启自动解析gRPC/Protobuf流量选项，即可将二进制格式的Firebase gRPC请求解析为可读的结构化内容；如果使用Burp Suite，可安装Protobuf解析插件实现相同效果。
• 应用层钩子直接拦截请求
  如果网络层抓包始终失效，可以使用Frida框架编写钩子脚本，直接挂钩Firebase SDK的请求发送接口，或者目标应用内使用的OkHttp、Retrofit等HTTP客户端的请求方法，在应用内部直接获取、修改所有Firebase相关的请求与响应内容，完全绕开网络层的证书、传输协议限制。

内容的提问来源于stack exchange，提问作者Alcides Bezerra