Сниффинг трафика между виртуальной машиной и сетью.

http://www.charlesproxy.com/documentation/proxying/ssl-proxying/

Спасибо, про MITM прокси я в курсе. Проблема в том как подсунуть клиенту Инстаграма нужный сертификат?)

А можно не подсовывать ему нужный сертификат. Можно дебагером подцепиться к этому клиенту Инстаграма и дампнуть сеансовый ключ после хендшейка, потом им уже можно расшифровать все

Можно еще запатчить сам бинарник инстаграма, чтобы он работал с любым сертификатом, а не только с доверенным.

Проблема в том как подсунуть клиенту Инстаграма нужный сертификат?)

если верить тебе, то клиент на виртуальной машине, у тебя есть полный доступ к памяти и состоянию всех устройств, можно добыть сертификат и андроид не узнает.

Меня просто гложит любопытство: с какой целью делается всё это? Подозрения что сабж ходит налево?

Очевидно же.

Телеграм закрытый же

Теле? ТС вроде инстаграм обуздать пытается)

Хочу автоматизировать некоторые процессы в Instagram. А в API многого нужного нет.

Вопрос, есть ли у кого идеи для решения проблемы?

Декомпилировать приложение и поглядеть, что оно делает?

http://blog.philippheckel.com/2013/08/04/use-sslsplit-to-transparently-sniff-...

если верить тебе, то клиент на виртуальной машине, у тебя есть полный доступ к памяти и состоянию всех устройств, можно добыть сертификат и андроид не узнает.

На кой ляд ему сертификат? Он и так известен. Нужен сессионный симетрический ключ.

Загугли - android import ssl certificate.

http://wiki.cacert.org/FAQ/ImportRootCert#Android_Phones_.26_Tablets

Обфускация.. Каждое собираемое с помощью SDK приложение проходит обфускацию. Идея конечно рабочая, но во первых обратно его уже будет не собрать, а во вторых там черт ногу сломит.

Как бы уже делал и проблема в том, что трафик все равно зашифрован, т.е. что то не работает. Мне кажется, что клиент игнорит глобальные сертификаты ОС и работает каким то образом со своим сертификатом. Я конечно в SSL нуб, могу нести чушь.

Как бы уже делал и проблема в том, что трафик все равно зашифрован

Так он и будет зашифрован. Тебе нужна утилита, которая сможет влезть посередине, используя ключ для импортированного сертификата.

во первых обратно его уже будет не собрать, а во вторых там черт ногу сломит.

Не надо его собирать, достаточно разобрать. И читать от внешних API, их имена не обфусцируются. Фактически, тебе нужна та часть, которая запросы в сеть шлёт, а она как раз близко к внешним API.