如何拦截Facebook应用数据包？Fiddler/Burp无法监听其HTTPS流量

根据你描述的情况——已经用SSL Kill Switch 2和Burp Mobile Assistant搞定了其他带SSL Pinning的应用（比如Twitter、Snapchat），但唯独Facebook不行，而且网页版正常，你的怀疑完全站得住脚：Facebook应用确实依赖独立于主应用的认证服务组件处理部分加密请求，这部分组件大概率没被常规的SSL Pinning绕过工具覆盖到。

下面是针对性的排查和解决方法：

• 检查并Hook Facebook的后台认证进程：
  打开设备应用管理找到Facebook，查看它的后台进程/服务列表，你会发现类似com.facebook.auth这类命名的独立认证进程。常规工具可能只Hook了主应用进程，没覆盖到这些子进程。你需要确保绕过工具支持全局Hook所有进程，或者手动指定Hook这些认证相关的进程（比如用Frida精准指定进程名）。

• 换用更灵活的Frida绕过方案：
  相比SSL Kill Switch 2，Frida能更精准地处理多进程场景。你可以尝试专门针对Facebook的Frida脚本，执行命令比如：

  frida -U -f com.facebook.katana -l sslpinning-bypass-facebook.js
  

  这类脚本通常会同时处理主应用和关联认证服务的Pinning逻辑，强制让所有进程信任代理证书。

• 验证代理配置是否覆盖全组件：
  Facebook的部分组件可能会绕过系统全局代理，你可以试试：

  1. 在抓包工具中确认设备代理是全局生效的，且未排除Facebook应用；
  2. 手动给Facebook应用单独设置代理（如果系统允许）；
  3. 关闭设备上可能干扰代理的VPN或网络工具。

• 过滤认证相关域名排查流量：
  抓包时专门过滤auth.facebook.com、login.facebook.com这类认证域名，如果完全看不到请求，说明这些流量根本没走代理（大概率是进程级Pinning或代理绕过）；如果看到但证书报错，就说明还没成功绕过这些进程的Pinning，需要加强Hook。

• 确认证书注入的完整性：
  Android 7+之后，应用可以选择不信任系统证书库。你要确保抓包工具的证书不仅装在系统证书里，还通过Burp Mobile Assistant这类工具注入到Facebook应用的私有信任存储中，或者用Frida脚本强制让应用信任所有证书。

核心问题就是Facebook的多进程架构——很多默认绕过工具只处理主进程，忽略了负责认证、核心请求的子进程，针对性地覆盖这些进程就能解决大部分问题。

内容的提问来源于stack exchange，提问作者Dmitrii Maslennikov