AwesomeREA.org

工具

friTap TLS 密钥提取与流量解密工具

基于 Frida 的工具，在运行中的进程内挂钩 OpenSSL、BoringSSL、NSS、GnuTLS 等 TLS 库，输出 NSS 格式的密钥日志和解密后的 PCAP 明文，便于分析者在 Wireshark 中检查应用的加密流量。对于去除符号或静态链接的库，可通过字节模式或偏移量定位函数、扫描被重命名的库，也可不挂钩而改为扫描堆内存来恢复 TLS 密钥。终端界面、Python API 和 Wireshark extcap 集成都基于同一套捕获功能。

使用条件与局限

  • 审阅时最新版本为 v2.5.2，于 2026-09-29 上传至 PyPI，2026-10-04 在 GitHub 发布；所审阅的 main 提交与该标签完全一致。README 称已支持 Linux、Windows 和 Android，对 macOS 与 iOS 的支持仍不完整且在开发中，Windows 实现仅在 Windows 10 上验证过。
  • 在 Python 3.10+ 上通过 pip 安装 fritap。friTap 2.x 需要 frida 17.x 和 frida-tools 14.x；设备上的 frida-server 较旧时，需借助文档提供的约束文件安装旧版 friTap。分析移动应用需在设备上运行 frida-server，Android 演示使用已 root 的手机或模拟器，并要求 adb 位于 PATH 中；桌面示例使用 sudo 附加进程。只有完整抓包才需要 libpcap 或 Npcap，实时管道输出到 Wireshark 仅支持 Linux 和 macOS。
  • 分析者需指定要附加或启动的进程或应用包名。不同库和平台的覆盖程度不同：README 的支持表将许多组合标为仅读写挂钩、仅密钥或尚未实现，因此明文捕获可能不完整。静态链接 BoringSSL 所需的字节模式可由作者另行提供的 BoringSecretHunter 工具生成，该工具分析的是使用者自有的库文件副本。
  • 采用 GPL-3.0；setup.py 声明 GPL-3.0-only，但其行内注释写的是 GPLv3 或更高版本。README 将该工具定位于恶意软件分析和应用隐私研究，并请使用者引用作者 2024 年发表于 Forensic Science International: Digital Investigation 的 TLS 密钥材料提取论文。本次未挂钩任何进程，也未捕获任何流量。

关于此条目

类型
工具
类别
协议分析工具
关联
基础工具
目标
应用 · 协议

来源复核于

说明已依据一手来源复核；这不代表已运行验证、经过安全审计或确认兼容。

一手来源

  1. README.md GitHub · fkie-cad/friTap · 修订 d7398a1
  2. README.md#L175-L198 GitHub · fkie-cad/friTap · 修订 d7398a1
  3. README.md#L200-L216 GitHub · fkie-cad/friTap · 修订 d7398a1
  4. USAGE.md GitHub · fkie-cad/friTap · 修订 d7398a1
  5. EXAMPLE.md GitHub · fkie-cad/friTap · 修订 d7398a1
  6. setup.py#L35-L40 GitHub · fkie-cad/friTap · 修订 d7398a1
  7. LICENSE GitHub · fkie-cad/friTap · 修订 d7398a1
  8. integrations/wireshark GitHub · fkie-cad/friTap · 修订 d7398a1
  9. https://github.com/fkie-cad/friTap/releases/tag/v2.5.2
  10. https://pypi.org/project/friTap/2.5.2/
  11. https://doi.org/10.1016/j.fsidi.2024.301766