23 de julio de 2026

Yasser Ali, Meta Bug Bounty

La investigación en el ámbito de seguridad móvil siempre fue frustrante. Debido a las dificultades que conlleva la fijación de SSL, los problemas con los certificados y las pilas de red opacas, muchos investigadores optaron por no realizar pruebas en dispositivos móviles. En nuestra última encuesta de investigadores, la mejora más solicitada fue la optimización de la intercepción de tráfico móvil.

Con la nueva función de configuración de Whitehat (botón para eludir el anclaje SSL), crear un entorno de investigación de seguridad móvil ahora es mucho más simple que antes. En esta publicación, se explica cómo configurar Burp Suite, una popular herramienta de prueba de seguridad web que se usa para interceptar y analizar tráfico HTTP/HTTPS con el objetivo de interceptar tráfico de las apps para celulares de Meta, Facebook, Instagram, Messenger y Threads.

Esta guía es ideal tanto si eres un experimentado investigador de dispositivos móviles como si eres alguien que evita las pruebas en dispositivos móviles porque la configuración resulta abrumadora.

Los investigadores de seguridad y privacidad móviles interceptan el tráfico de red de las apps y los dispositivos para entender qué datos se envían, a quién y en qué condiciones, especialmente cuando el comportamiento de la app no es completamente observable desde la interfaz de usuario o los registros. Este paso inicial en la investigación de seguridad móvil siempre fue engorroso.

Un proxy se ubica entre tu dispositivo móvil e internet, lo que te permite ver, modificar y volver a reproducir cada solicitud HTTP/HTTPS que realiza la app. Esta visibilidad es esencial para las pruebas de seguridad.

El anclaje de SSL es una medida de seguridad que evita la interceptación por parte de un intermediario, ya que codifica de forma fija los certificados en los que confía una app. A pesar de que esto es excelente para la seguridad de los usuarios, dificultó enormemente las tareas de investigación legítima. Anteriormente, los investigadores tenían que usar scripts de Frida o recurrir a soluciones alternativas inestables.

La configuración de Whitehat de Meta ahora te permite activar o desactivar la omisión del anclaje de SSL directamente desde la app. Solo debes presionar un botón y comenzarás a interceptar.

Tu teléfono debe comunicarse con Burp a través de la red, por lo que no funcionará si se vincula únicamente a localhost.

macOS:

ifconfig | grep "inet " | grep -v 127.0.0.1

Windows:

ipconfig

Linux:

ip addr show | grep "inet "

Asegúrate de que tanto tu computadora como tu teléfono estén conectados a la misma red wifi.

Puedes seguir las instrucciones en https://portswigger.net/burp/documentation/desktop/mobile

Alternatively, you can set the proxy via ADB:

adb shell settings put global http_proxy <your-machine-ip>:<your-machine-port>

Instalar el certificado de CA de Burp:

Nota sobre Android 7+: Las apps no confían de forma predeterminada en los certificados de CA instalados por usuarios en Android 7 y versiones posteriores. Es aquí donde entra en juego la configuración de Whitehat, ya que evita esta restricción en las apps de Meta.

Instalar el certificado de CA de Burp:

Esta es la función que hace que todo funcione. En lugar de combatir el anclaje de SSL, simplemente le pides a la app que te deje pasar.

Hora de comprobar el funcionamiento:

Si notas que el cuerpo de la solicitud o respuesta HTTP se ve como datos binarios desordenados (como en la captura de pantalla que se muestra a continuación), se trata de una compresión gzip.

Burp ofrece descompresión automática para que no tengas que hacerlo manualmente en cada ocasión. Navega hasta la configuración del proxy y marca la opción de desempaquetar solicitudes / respuestas comprimidas.

Las solicitudes HTTP que deseas modificar suelen aparecer en el formato application/x-www-form-urlencoded.

Es mucho más fácil convertir la codificación haciendo clic con el botón derecho en la pestaña del repetidor y luego cambiar la codificación del cuerpo a multipart, lo que facilita la visualización y la modificación.

También puedes usar el Inspector seleccionando el texto completo codificado en vez de intentar modificarlo manualmente.

Las partes más importantes de cualquier solicitud de GraphQL son doc_id (o client_doc_id) y las variables. Sin ellos, el servidor no puede determinar qué acción está intentando realizar el usuario. Cada operación tiene un doc_id único, por lo que cambiarlo llamará a una acción completamente diferente. Las variables contienen los parámetros de esa acción, como identificadores de usuario, referencias de contenido y valores de entrada.

Consulta las normas de pago más actualizadas en bugbounty.meta.com para obtener información sobre las vulnerabilidades que cumplen los requisitos y los rangos de recompensas.

Gracias a la configuración de Whitehat y a una configuración básica de Burp Suite, la investigación de seguridad móvil en las apps de Meta ahora es realmente accesible. Lo que antes requería horas de ingeniería inversa y herramientas inestables ahora se resuelve en unos 15 minutos de configuración directa. Si evitaste la investigación de dispositivos móviles porque la barrera de entrada resultaba demasiado alta, es hora de darle una oportunidad. Además, si ya sabes realizar pruebas en dispositivos móviles, la nueva opción de omitir el anclaje debería simplificar significativamente tu trabajo.

¿Encontraste algo interesante? Envíalo a través de nuestro programa Bug Bounty Estamos ansiosos por ver lo que encontrarás.

¡Buena caza!