La parte difficile della cattura non sono mai stati i casi ordinari, ma i certificati pinned, le app che ignorano il proxy, HTTP/3, i protocolli proprietari e simili. Ecco cosa sa fare Trace Eagle.
Molte app si fidano solo del proprio certificato incorporato. Sostituiscilo con un certificato proxy e l’app se ne accorge all’istante e dà errore, così non si decifra nulla.
Non sostituisce mai il certificato. Legge invece il testo in chiaro dall’interno dell’app, così nemmeno un pinning rigido lo ferma.
Alcune app ignorano del tutto il proxy di sistema. Ne imposti uno e comunque non ci passano, così gli strumenti proxy non catturano nulla.
Cattura invece sulla scheda di rete. Che l’app rispetti o no un proxy, il traffico è lì, e viene decifrato in automatico.
Sempre più servizi usano HTTP/3 su UDP con un handshake diverso, e i vecchi proxy e gli sniffer di sola cattura non lo gestiscono.
Cattura con downgrade, passaggio ad alta fedeltà o vera decifratura H3, così il traffico QUIC compare in chiaro.
Android 7+ ha smesso di fidarsi dei certificati utente, e Android 14 ha spostato lo store di sistema in un punto dove non puoi scrivere, così installare un certificato è sempre più difficile.
Vari metodi di cattura senza certificato: iOS senza jailbreak, Android senza installare un certificato.
Queste includono il proprio trust store e ignorano il certificato che hai aggiunto al sistema, così i proxy comuni non riescono comunque a decifrare.
Legge il testo in chiaro dall’interno del processo; il trust store di sistema è irrilevante.
Un protocollo binario personalizzato arriva come byte grezzi senza struttura visibile, e gli strumenti comuni si limitano a fissarlo.
Scrivi un breve script per dichiarare il framing e viene ricostruito in campi strutturati, frame per frame.
Le app di sistema e i processi sepolti in profondità bloccano sia il proxy sia le letture in-app, lasciando solo testo cifrato sul filo.
La cattura a livello di sistema legge il testo in chiaro dal basso, raggiungendo ciò che altri strumenti non riescono.
La cattura è solo il primo passo: le cose che fai tutto il giorno, riscrivere, confrontare, ripetere, test di carico, cercare un server, si fanno tutte dentro lo strumento.
Imposta un breakpoint su una richiesta: prendila a metà volo, modificala e rilasciala o scartala, e osserva il server reagire sul momento.
Cambia richieste e risposte senza toccare il codice: inoltra, mappa in locale, crea dati fittizi, modifica intestazioni e corpi, per test di integrazione e di casi limite.
Costruisci a mano o modifica qualsiasi richiesta e inviala; i valori dinamici ricalcolano firme e timestamp, così le API firmate si ripetono davvero.
Ripeti un blocco di richieste in ordine, o fai clic destro su una per farne un test di carico: QPS, concorrenza e latenza di coda p99 onesta.
Metti due richieste o risposte fianco a fianco; dove una riesce e una fallisce, la differenza è evidenziata a colpo d’occhio.
Per protocolli binari proprietari o interni, un breve script dichiara il framing e viene ricostruito in campi strutturati e leggibili.
JSON, form e gRPC vengono riconosciuti e abbelliti; gzip, brotli e la codifica chunked si aprono all’istante, così i caratteri illeggibili diventano leggibili.
Fai clic su un host per proprietà, posizione, un grado del certificato da A a F e lo stack tecnologico: tutto ciò che va oltre un semplice IP e dominio, in un solo posto.
Trasforma una richiesta in cURL, Python, Go e altro; trasforma un’intera sessione in una specifica OpenAPI, con importazione ed esportazione HAR.
Diagnostica di rete, una tabella delle connessioni con attribuzione ai processi, scansione delle porte, scoperta dei sottodomini, controlli di fuga DNS e audit TLS, sempre a portata di mano.