一、问题背景
对于 iOS 真机设备的 HTTP/HTTPS 网络抓包司空见惯，基本套路都是类似 Burp 的做法，提供一个代理，然后将 iOS 真机的网络代理设置为之前提供的代理，从而实现抓包。
但是对于底层（传输层及传输层以下）网络通讯的抓包，则需要 tcpdump 或者 Wireshark 来进行。而这两款工具都是通过分析流经指定网卡的数据包来实现的，这样就引出两个问题：
1、如何让 iOS 真机的数据流量流经指定的网卡？
2、如何在抓包时不改变原有网络链路？
二、常见解决方案及问题
1、将电脑的指定网卡配置为手机网络的网关
问题：
- 需要将电脑指定网卡配置成网关，比较繁琐。Windows 较容易实现，但 macOS 的无线网卡无法同时作为 WiFi 和网络热点使用，所以不太方便。
- 会改变实际网络访问的链路
- 只能应用于局域网，无法用于蜂窝网络
2、在电脑上提供代理服务器
这个思路与 HTTP/HTTPS 抓包的方式差不多，也确实能将 iOS 真机的网络流量引导。
问题：
- 对于 iOS 设备上不遵循系统代理设置的应用无法实现抓包
- 虽然能抓到数据，但原计划访问的目标网络的数据包，目标地址会变为代理服务器地址，导致影响抓包分析
- 会改变实际网络访问的链路
- 只能应用于局域网，无法用于蜂窝网络
三、推荐方案
1、Remote Virtual Interface Tool 介绍
使用苹果提供的 Remote Virtual Interface Tool。
rvictl [-h][-l][-s <udid1> ... <udidN>][-x <udid1> ... <udidN>]
Remote Virtual Interface Tool starts and stops a remote packet capture instance
for any set of attached mobile devices. It can also provide feedback on any attached
devices that are currently relaying packets back to this host.
Options:
-l, -L List currently active devices
-s, -S Start a device or set of devices
-x, -X Stop a device or set of devices
rvictl version 1.2
iOS 5 开始，Apple 引入了 RVI（Remote Virtual Interface Tool）特性，它只需要将 iOS 设备使用 USB 数据线连接到 Mac 上，然后使用 rvictl 工具以 iOS 设备的 UDID 为参数，在 Mac 中建立一个虚拟网络接口 RVI，就可以在 Mac 设备上使用 tcpdump、Wireshark 等工具对创建的接口进行抓包分析了。
这种流量分析方法，是直接捕捉的 iOS 设备上的网络流量，因此对于各种网络类型，如：WiFi、蜂窝网路都可以捕捉到，也不需要 Mac 与 iOS 设备处于同一个网段。
根据文档描述，这种方法并不会改变网络访问链路，规避了抓包时访问链路与原始访问链路不一致，导致场景差异引发的分析偏差。
2、使用步骤
（1）将 iOS 设备连接到 Mac，并通过 Finder 查看 iOS 设备的 UDID
（2）创建 RVI
rvictl -s <UDID>
（3）使用 tcpdump 或者 Wireshark 进行网络抓包分析
（4）移除 RVI
rvictl -x <UDID>
3、遗留问题
此方法只适用于 iOS 真机配合 Mac 的场景，对于 Android 设备，暂时还需要使用原来配置网关的方案。
五、参考资料
- Recording a Packet Trace
https://developer.apple.com/documentation/network/recording_a_packet_trace?language=objc
- Remote Packet Capture for iOS devices
https://useyourloaf.com/blog/remote-packet-capture-for-ios-devices/
（完）
