测试 SSL 攻击 - 可以在 SSLException 之后提取服务器证书吗？

Question

对于一个项目，我想测试是否有人在篡改 SSL 连接。 HttpsUrlConnection 使用带有固定证书的SSLContext。

我的问题是：如果我收到 SSLException，例如有人试图伪造一个错误的证书，有什么方法可以获取有关该证书的详细信息？

在计算机上，使用浏览器（取决于浏览器和版本）我会收到一个证书警告，并且可以选择查看有关证书的详细信息。

我想知道，是否有任何方法可以使用HttpsUrlConnection 获得这个，或者还有其他可能性吗？ getServerCertificates()此时将不起作用，因为连接尚未建立，我看不到其他选项..

Answer 1

事实证明，从 Android SDK 22 开始，抛出的异常已经包含有关证书的详细信息。

我可以看到运行 Android 21 的设备会抛出一个 IOException（主机名未验证），而 Android 22 会抛出一个 SSLPeerUnverifiedException，还提供有关证书的详细信息。