求助：有没有人抓包过掌上电力这个 APP？

[EricInBj]

想着获取自家每天电表余额情况，记录每日电费的。 主要有两处可以下手：

1. 95588 的网站，搜到一哥们写过脚本可以抓取。得手动输验证码，最大的问题是网站似乎不太稳定，今天一上午都无法查询余额信息。
2. 掌上电力 这个官方 APP 里也有余额数据。

不过尝试了一下，不管 Android 还是 iOS 端，都无法抓取到 API 请求包(Fiddler)，Android App 应该是使用了爱加密做了加固。猜测使用了 SSL PINNING，还有类似给 httpclient 设置代理的方式来绕过 WIFI 上设置的代理。

可能是由于加固过，使用 xposed 上的 trustmealready 也无法绕过 ssl pinning，per app hacking 也无法强制应用代理设置。

有没有高手有什么别的建议啊？

[hongch]

抓 TCP 的包

[EricInBj]

@hongch 肯定是 https 的，抓 TCP 的话，没啥用吧？

[ihciah]

拆加固咯

[yingfengi]

支付宝里面也看，好像微信公众号我可以。

[EricInBj]

@ihciah 简单尝试了一下 zjDroid，无果。。。有啥建议没啊。。

[EricInBj]

@yingfengi 对啊，这俩渠道我也看看去。。多谢

[EricInBj]

@yingfengi 微信公众号里，户号绑定，没了反应。。。 支付宝里，是怎么个查看法呀？没搜到官方的查询入口呢

[deepdark]

tcpdump 啊，你手机 root 了抓包不是什么难事，实在不行你就找个笔记本拿 wireshark 抓

[yingfengi]

@EricInBj 生活缴费里面电费那边绑定户号，然后会关注一个公众号（支付宝上是叫公众号吗？反正就是一个类似的东西）然后就可以查了。

[EricInBj]

@yingfengi 是这个里面说的这种么？ https://jingyan.baidu.com/article/e2284b2b9272dce2e7118d69.html

我看了，并没有余额信息，不知道是因为地区不同还是支付宝功能有变化了。

[nanaw]

你怎么抓的 HTTPS 包，我抓 Google 的时候怎么配都弄不好证书

[EricInBj]

@nanaw 装 Fiddler 的证书， 在手机上访问 http://fiddler_pc_ip:proxyport 页面上有证书下载连接的。

[boom7]

试下 fdex2，刚试了下顺利脱壳

[EricInBj]

@boom7 是脱的掌上电力么？ 我试试，谢谢！

[yukiww233]

放在谷歌空间或者太极等虚拟空间里跑，抓上级 app 的包

[nanaw]

@EricInBj 应用不信任。装了之后一般应用断网，chrome 开网页提示证书错误。
用网上的方法装成系统证书之后也不行。应用就是不信任

[EricInBj]

@boom7 确实，搞出来几个 DEX，dex2jar 后能看到部分代码了，先研究一下看看。 多谢兄弟

[EricInBj]

@nanaw chrome 都不行的话，说明证书安装有问题的。

[Chalice]

@yukiww233 #15 抓不到 HTTPS 的包吧？

[yukiww233]

@Chalice #19 对检测代理之类的有效，但是内置了证书也没办法