Solpuga Proxy

В прокси не видно трафик приложения или сыпятся сплошные ошибки? 

Чек-лист, что нужно проверить в первую очередь:

◻️ Приложение вообще ходит через прокси?
Flutter, кастомные OkHttp/URLSession могут вообще игнорировать системные настройки.

◻️Сертификат прокси и добавлен, и доверен (стоит в системном хранилище)?
Особенно на Android 7+ и iOS.

◻️Нет ли SSL (Certificate) Pinning в приложении?

◻️Приложение не использует свой TLS-стек / своё хранилище сертификатов?
Поиграли с BoringSSL/OpenSSL/mbedTLS и проиграли.

◻️Все ли части приложения ходят через один и тот же сетевой стек?
Аналитика, пуши, картинки вполне могут идти мимо.

◻️Не использует ли приложение HTTP/2 или HTTP/3 (QUIC)?
HTTP/2 поддерживают не все прокси, а HTTP/3 вообще ходит по UDP.

Подробнее с картинками https://habr.com/ru/articles/1067638/

Про один Error: Invalid JSON

Есть такая атака, XSSI — Cross-Site Script Inclusion. Злоумышленник на своем сайте вызывает какой-то js-файл с сайта-цели через тег <script>. Браузер автоматически прикрепляет куки пользователя к запросу, и если, например, этот скрипт ставит глобальную переменную, то атакующий потом может её прочитать и получить данные. Был ещё исторический случай, когда JSON-массивы перехватывали через переопределение конструктора массива.

Появились разные способы защиты:  данные в нескриптовом формате, проверка заголовков.

А Google добавляет в начало JSON-ответа мусорные символы )]}’, из-за которых скрипт должен падать. «Хорошие» клиенты при разборе JSON должны проверять это и отбрасывать первую строку. Другие случайно заметят ошибку и должны будут дорабатывать декодер тел)

#release 1.1.0

В этом релизе - больше ясности и контроля

Новое
• Расширяем фильтры поиска и добавляем поиск по телам запросов и ответов, чтобы сразу переходить к важным деталям.
• SSL-Proxy, +1 к приватности - можно расшифровывать только выбранные хосты, чтобы в HAR-сессию не попало лишнее. Ну и чтобы не сломать другие сервисы 🙃

Улучшения
• Продолжаем ловить новые кейсы с кодировками и улучшать декодирование содержимого.
• Чуть-чуть правок для Linux и Прозрачного режима.

Исправления
• Убрана раздражающая мелочь - большинство хостов теперь показываются без портов.
• Большие HAR теперь не должны вешать UI. На моих системах всё работало

У нас было 2 реальных компьютера, 75 виртуалок, 5 агентов, пол-недельного лимита токенов и целое множество тестовых скриптов всех размеров.
Не то чтобы это всё было нужно для тестирования кроссплатформы, но раз начал всё поддерживать, то иди до конца. Единственное, что меня беспокоило — это Arch. 

Некоторые особенности работы разных десктопных ОС:

1) Есть локальный сервер, который надо перезапустить? На macOS и Linux можно обойтись SO_REUSEADDR и тут же повторно использовать адрес и порт. А вот на Windows извольте подождать немного, пока система закроет порт в фоне (SO_REUSEADDR там менее предсказуем). На быстрых авто-тестах может быть неприятно)

2) На Linux нельзя просто так взять и обновить приложение с работающей фоновой службой - она продолжит работать по старым условиям. Команда systemctl enable --now только запускает неработающую службу, но не перезапускает уже работающую. Нужно перезапустить явно. Если обновилась только конфигурация приложения, иногда достаточно специальной команды перезагрузки конфигурации, например reload.

3) На macOS Tailscale или iCloud Private Relay могут ошибочно определяются как VPN, если ленивый автор чекер проверяет только utun. Хотя если Tailscale настроен на использование выходного узла (exit node), то положительный результат объясним.

4) В какой-то момент приложение может перестать открывать файлы и устанавливать новые соединения, но на каждой ОС это произойдет в разное время. В Linux и macOS действуют ограничения на количество открытых файловых дескрипторов процесса, включая дескрипторы сокетов, число зависит от конфигурации. В Windows нет универсального предела, есть просто какое-то общее доступное количество, поэтому приложение там может продолжать работать до исчерпания.

#release 1.0.0

Из беты - в жизнь

За это время проект успел пройти путь от небольшого эксперимента до полноценного инструмента для работы с сетевыми запросами. Правила переписывались, подходы проверялись, а интерфейс и механика постепенно собирались в то, чем Solpuga стала сегодня.

Поэтому этот релиз немного важнее обычного: Solpuga переходит на лицензионную модель.

Вместе с этим исправлены некоторые накопившиеся мелочи и отполировано то, что успело проявиться за время разработки.

Бета-этап завершён.

Привет, это канал про Solpuga (Сольпуга) - кроссплатформенный инструмент для перехвата трафика.

Здесь будут новости про развитие продукта, рекомендации по использованию и живые обсуждения

Где можно скачать - solpuga.pro/mp