Interceptando Tráfego Mobile com Burp Suite

Quando Usar

Use esta habilidade quando:

• Testar endpoints de API de aplicativos mobile em busca de vulnerabilidades de autenticação, autorização e injeção
• Analisar dados transmitidos entre aplicativos mobile e servidores backend durante testes de penetração
• Avaliar implementações de "certificate pinning" e a dificuldade de contorná-las
• Identificar vazamento de dados sensíveis no tráfego de rede mobile

Não use esta habilidade para interceptar tráfego de aplicativos que você não tem autorização para testar -- a interceptação de tráfego sem autorização viola as leis de fraude computacional.

Pré-requisitos

• Burp Suite Professional ou Community Edition instalado na estação de trabalho de teste
• Dispositivo Android/emulador ou dispositivo iOS na mesma rede que o host do Burp Suite
• Certificado CA do Burp Suite instalado no dispositivo alvo
• Para Android 7+: Modificação da configuração de segurança de rede ou módulo Magisk para confiança de CA do sistema
• Para contornar SSL pinning: Frida + Objection ou scripts Frida customizados
• Rede Wi-Fi onde a configuração de proxy é possível

Fluxo de Trabalho

Passo 1: Configurar o Listener de Proxy do Burp Suite

Burp Suite > Proxy > Options > Proxy Listeners:
- Bind to address: All interfaces (or specific IP)
- Bind to port: 8080
- Enable "Support invisible proxying"

Verifique se o listener está ativo e anote o endereço IP da estação de trabalho na rede compartilhada.

Passo 2: Configurar o Proxy do Dispositivo Mobile

Android:

Settings > Wi-Fi > [Network] > Advanced > Manual Proxy
- Host: <burp_workstation_ip>
- Port: 8080

iOS:

Settings > Wi-Fi > [Network] > Configure Proxy > Manual
- Server: <burp_workstation_ip>
- Port: 8080

Passo 3: Instalar o Certificado CA do Burp Suite

Android (abaixo da API 24):

# Export Burp CA from Proxy > Options > Import/Export CA Certificate
# Transfer to device and install via Settings > Security > Install from storage

Android (API 24+ / Android 7+): Aplicativos que visam a API 24+ não confiam em CAs instaladas pelo usuário por padrão. Opções:

# Option A: Modify app's network_security_config.xml (requires APK rebuild)
# Add to res/xml/network_security_config.xml:
# <network-security-config>
#   <debug-overrides>
#     <trust-anchors>
#       <certificates src="user" />
#     </trust-anchors>
#   </debug-overrides>
# </network-security-config>

# Option B: Install as system CA (rooted device)
openssl x509 -inform DER -in burp-ca.der -out burp-ca.pem
HASH=$(openssl x509 -inform PEM -subject_hash_old -in burp-ca.pem | head -1)
cp burp-ca.pem "$HASH.0"
adb push "$HASH.0" /system/etc/security/cacerts/
adb shell chmod 644 /system/etc/security/cacerts/$HASH.0

# Option C: Magisk module (MagiskTrustUserCerts)

iOS:

1. Navigate to http://<burp_ip>:8080 in Safari
2. Download Burp CA certificate
3. Settings > General > VPN & Device Management > Install profile
4. Settings > General > About > Certificate Trust Settings > Enable full trust

Passo 4: Interceptar e Analisar Tráfego

Com o proxy configurado, abra o aplicativo alvo e navegue por sua funcionalidade:

Burp Suite > Proxy > HTTP History: Revise todas as requisições e respostas capturadas.

Áreas chave para analisar:

• Tokens de autenticação: Estrutura JWT, expiração de token, mecanismos de refresh
• Endpoints de API: Caminhos RESTful, consultas GraphQL, padrões de parâmetros
• Dados sensíveis em trânsito: PII (Informações Pessoais Identificáveis), credenciais, dados financeiros
• Cabeçalhos de resposta: Cabeçalhos de segurança (HSTS, CSP, X-Frame-Options)
• Respostas de erro: Stack traces, informações de debug, caminhos internos

Passo 5: Testar Vulnerabilidades de API Usando o Burp Repeater

Encaminhe requisições interceptadas para o Repeater para testes manuais:

Right-click request > Send to Repeater

Test categories:
- Authentication bypass: Remove/modify auth tokens
- IDOR: Modify user IDs, object references
- Injection: SQL injection, NoSQL injection in parameters
- Rate limiting: Rapid request replay for brute force assessment
- Business logic: Modify prices, quantities, permissions in requests

Passo 6: Automatizar Testes com o Burp Scanner

Right-click request > Do active scan (Professional only)

Scanner checks:
- SQL injection (error-based, blind, time-based)
- XSS (reflected, stored)
- Command injection
- Path traversal
- XML/JSON injection
- Authentication flaws

Passo 7: Lidar com Certificate Pinning

Se o tráfego não for visível devido ao certificate pinning:

# Bypass baseado em Frida (genérico)
frida -U -f com.target.app -l ssl-pinning-bypass.js

# Bypass com Objection

…