学习记录-app渗透

学习记录-app渗透

注:文章仅用于学术交流,不用于其它用途

一、app渗透思路
app其实和web基本相同,可以通过多种工具如夜神模拟器等在电脑上模拟安卓环境,进行操作。操作内容和web一样,可以xss、sql注入、文件上传漏洞等等

二、实战案例
1)下载夜神模拟器,首先设置代理,让工具burp能抓到数据包
设置-wifi-手动添加代理
学习记录-app渗透_第1张图片

burp工具设置ip及端口就可以抓app的包了
学习记录-app渗透_第2张图片

我们找了一个开源的app测试,这里有外出出差提交单,可以上传文件,这里是上传了一个图片码,然后通过抓包找到了上传文件的路径
学习记录-app渗透_第3张图片
学习记录-app渗透_第4张图片
发现了nginx解析漏洞,加入/.php以php形式解析,成功解析了木马
学习记录-app渗透_第5张图片
在开源app上找到了一处地方可以评论,我们尝试打入xss
学习记录-app渗透_第6张图片
发现可以弹窗,说明这里存在存储型xss
学习记录-app渗透_第7张图片
三、快速自建APP
通过网站变色龙在线工具按照提示流程直接创建,不用要求你会java、c等

四、安装Xposed框架和Inspeckage插件使用
安装Xposed框架然后模块选择Inspeckage插件选择版本安装
先下载好要测试的APP,然后打开Inspeckage插件进入,首先要去Xposed框架激活插件然后重启生效(所有安装一定要Root)

学习记录-app渗透_第8张图片
进入插件工具,无红色现在说明工具生效了
学习记录-app渗透_第9张图片
使用命令将模拟器管理页面127.0.0.1:8008映射到本地浏览器,这里需要用到adb命令,注意路径切换到adb执行
学习记录-app渗透_第10张图片
选择APP进入,通过本地web界面查看信息
学习记录-app渗透_第11张图片

学习记录-app渗透_第12张图片
这里可以看到很多信息,最大的用处是四个板块:
HTTP:就是发起过的HTTP请求
Hash:就是使用过的 Hash加密,例如md5 sha1
Crypoto :除了Hash之外使用的加密
SQLite :是自带的数据库

1.结合http看信息,遇到加密的信息查阅hash和crypto
2.可以看到很多看不到的信息,如很多公网ip,都可以尝试去访问

你可能感兴趣的:(安全,app)