mitmproxy

mitmproxy は、ブラウザやアプリと Web サーバーの間に入って、HTTP のやり取りを 1 件ずつ見せるプロキシです。HTTPS の通信も、mitmproxy の証明書を信頼させれば中身まで読めます。最初はシステムの設定を変えず、curl の 1 回のリクエストだけを mitmproxy に通して試すと安全です。

この記事は、自分の Web アプリやスマホアプリの通信を確かめたい開発者と、Web の仕組みを学び始めた人に向けています。読み終えると、次のことができるようになります。

• mitmproxy を自分のパソコンの中だけで待ち受けさせ、Web 画面で通信を見る
• OS やブラウザの証明書ストアに手を加えずに、HTTPS のリクエストを 1 件だけ読む
• 証明書の秘密鍵が漏れると何が起きるかを知り、使い終えた後の片付けをする

##mitmproxy でできること

mitmproxy には画面の違う 3 つの道具が入っています。

• 通信の記録と確認：リクエストとレスポンスのヘッダーと本文を、1 件ずつ開いて読めます。HTTP/1、HTTP/2、WebSocket に対応します。
• 書き換えと再送：記録したリクエストを書き換えて送り直せます。保存したやり取りをまとめて再送する機能もあります。
• 差し替えと遮断：特定の URL への応答を手元のファイルに差し替える map_local や、特定のサイトへのリクエストを止める block_list があります。
• Python での自動化：アドオンという Python のスクリプトを -s で読み込むと、リクエストのたびに処理を走らせられます。
• 待ち受け方の切り替え：プロキシの設定を無視するアプリには、同じパソコンの通信を横取りする local モードや、スマホなど別の機器をつなぐ WireGuard モードを使います。

##外と行う通信

• 公式のインストールガイドによると、mitmproxy は自分から開発元へ連絡せず、更新の確認もしません。
• 通したリクエストは、そのまま本来の宛先のサーバーに届きます。書き換えたリクエストや再送したリクエストも、相手のサーバーに実際に届きます。この記事で影響範囲を「中」としているのは、このためです。
• 待ち受けるアドレスの既定値は空欄で、パソコンのすべてのネットワークに向けて開きます。インターネット側のアドレスからの接続は既定で拒否しますが（block_global）、同じ LAN の機器からはつながります。
• Web 画面（mitmweb）は既定で 127.0.0.1:8081 に開き、起動のたびにランダムなトークンで守られます。

##安全な試し方：curl の 1 回だけを通す

証明書を OS やブラウザに入れると、そのパソコンのすべての HTTPS 通信を mitmproxy が読める状態になります。最初はこれをせず、curl に証明書を直接渡して試します。手順 4 は、macOS か Linux の端末を想定しています。

1. 公式サイトから、使っている OS 用のインストーラーかバイナリを入手します。macOS は Homebrew の brew install --cask mitmproxy でも入ります。

2. 端末で次のように起動します。待ち受けを自分のパソコンの中だけに限り、同じ LAN の機器からはつながらないようにします。

   mitmweb --set listen_host=127.0.0.1

   ブラウザが開き、mitmweb の画面が出ます。初回の起動で、ホームの .mitmproxy フォルダーに証明書と鍵が作られます。

3. 別の端末で、暗号化しない HTTP のリクエストを 1 件だけ mitmproxy に通します。

   curl --proxy 127.0.0.1:8080 http://example.com/

   mitmweb の一覧に 1 行増えます。行を選ぶと、リクエストとレスポンスの中身が読めます。

4. 次に HTTPS を試します。mitmproxy の証明書を、この 1 回の curl にだけ渡します。

   curl --proxy 127.0.0.1:8080 --cacert ~/.mitmproxy/mitmproxy-ca-cert.pem https://example.com/

   HTTPS のリクエストも、暗号化を外した状態で一覧に出ます。OS の証明書ストアは変わっていません。

5. 終わったら、mitmweb を起動した端末で Ctrl+C を押して止めます。

ブラウザ全体の通信を見たいときは、プロキシを 127.0.0.1:8080 にしたブラウザで http://mitm.it を開きます。mitmproxy が返す案内ページから証明書を入れられます。普段使いとは別のブラウザやプロファイルを用意し、そちらにだけ入れると影響が小さく済みます。

##主な使い方

local モードは Windows、macOS、Linux で使えます。公式の文書によると、Linux では sudo で権限のあるプロセスを起動し、Linux 6.8 以降を対象にしています。WSL では使えません。

アドオンは、関数を 1 つ書くだけでも動きます。公式の例は、すべてのリクエストにヘッダーを 1 つ足すスクリプトです。

def request(flow):
    flow.request.headers["myheader"] = "value"

これを add_header.py として保存し、mitmdump -s add_header.py で読み込みます。

##ZAP・Wireshark との違い

自分のアプリが何を送っているかを確かめるだけなら、mitmproxy が向いています。HTTP より下の層、たとえば DNS や TCP の動きを見たいときは Wireshark を使います。

##注意点

##次に読む

• ZAPmitmproxy と同じくプロキシとして動き、脆弱性の自動スキャンもできるcd ../zap
• Wiresharkパケットの単位で通信を見るcd ../wireshark
• MobSF自作のスマホアプリを点検するcd ../mobsf
• 安全な検証環境の作り方cat ~/guides/lab-setup.md