Cara Menjalankan Ujian Penembusan APK Dibenarkan

Artikel ini bertujuan untuk menyediakan beberapa idea ujian untuk pemula yang juga kurang pengalaman ujian penembusan. Kandungan yang terlibat mungkin agak asas, sepupu, maafkan saya. Selepas membongkar APK dan mendapatkan apk, gunakan 7-Zip untuk menyahzip terus untuk mendapatkan beberapa folder, fail AndroidManifest.xml dan fail dex. Gunakan dex2jar https://sourceforge.net/projects/dex2jar/ untuk menyahmampat fail dex ini untuk menjana fail jar, dan kemudian gunakan jd-gui untuk melihat kod sumber java. Walaupun adalah mungkin untuk mencari kelemahan kod dengan melihat kod sumber, kekeliruan sering berlaku dan tidak akan dibincangkan secara mendalam di sini. Fail xml yang dinyatakan di atas tidak boleh diedarkan sebelum ini. Ia melibatkan banyak item konfigurasi penting, seperti: - android:debuggable adalah benar dalam fail AndroidManifest.xml. Apl boleh dinyahpepijat sewenang-wenangnya - android: allowBackup adalah benar dalam fail AndroidManifest.xml. Data apl boleh disandarkan dan dieksport. - Tunggu... Terdapat satu lagi perkara yang boleh digunakan semasa ujian sebenar: selepas menyahmampat apk, anda boleh cuba mencari fail db dalam powershell. Mungkin terdapat maklumat sensitif (mengapa anda mengatakan ini, kerana saya menemuinya sekali ...)

for /r F:\source-code %i in (*.db) do echo %i

analisis dan pengesanan keselamatan apk:

Percubaan: analisis dan pengesanan keselamatan apk (Makmal Keselamatan Rangkaian Hetian)

Jalankan eksperimen untuk mengetahui cara menjalankan apk analisis keselamatan program Pengesanan, dan gunakan ini untuk melakukan analisis dan pengesanan keselamatan pada apk, dan hasilnya mendedahkan potensi ancaman. )

Kes paling mudah untuk menghitung nama pengguna ialah apabila anda memasukkan nama pengguna dan log masuk, sistem akan bertindak balas bahawa nama pengguna itu tidak wujud. Apa yang saya temui kali ini ialah log masuk tidak memerlukan kata laluan, tetapi anda perlu memasukkan nama pengguna berdaftar Kemudian kod pengesahan akan dihantar ke telefon bimbit yang sepadan berdasarkan nama pengguna ia tidak boleh dihantar semula dalam tempoh 120s dan kod pengesahan sah selama 120s. Pada masa ini, nampaknya kami tidak boleh melakukan apa-apa melalui kod pengesahan, tetapi semasa proses ujian sebenar, kami mendapati bahawa 1. Apabila kami memasuki akaun sedia ada, ia menggesa bahawa penghantaran berjaya; 2. Jika kami menghantar ia berulang kali, kami akan membalas bahawa ia tidak boleh dihantar lagi dalam masa 120s. 3. Enter Jika tiada pengguna, ia akan meminta bahawa penghantaran gagal. Walaupun had masa ditetapkan, penghitungan nama pengguna masih boleh mengesahkan sama ada nama pengguna wujud melalui letupan, hanya berdasarkan maklumat yang dikembalikan oleh pelayan.

Tunggu sebentar, kerana kami tidak tahu nombor telefon bimbit dan kami tidak dibenarkan memasukkan kata laluan untuk log masuk, walaupun kami mendapat nama pengguna untuk menjana kamus kejuruteraan sosial, ia tidak akan berfungsi Kemudian kita mendapat pengguna Apa gunanya nama? Sudah tentu ia berguna, tetapi ia bergantung pada senario tertentu Sebagai contoh, dalam kes berikut, sebarang kod pengesahan boleh dipintas apabila kami log masuk, pelayan menghantar kod pengesahan SMS ke nombor telefon bimbit yang terikat pada akaun . Kami memasukkan nombor akaun yang diperoleh pada langkah sebelumnya dan masukkan kod pengesahan secara santai Klik untuk menangkap paket selepas log masuk. Log masuk gagal dan mendapati terdapat dua medan kod dalam jawapan

Cuba tukar:

Ia berfungsi!

Kerentanan pintasan kod pengesahan:

Percubaan: Pintasan kod pengesahan kerentanan

(Kuasai prinsip kerentanan pintasan kod pengesahan, dan eksploitasi kaedah pintasan dan perlindungan kerentanan)

Setelah berjaya melog masuk ke halaman fungsi, klik pada setiap fungsi Pada halaman maklumat peribadi , terdapat fungsi untuk menanyakan bilangan orang dalam talian dalam masa nyata lajur itu hanya memaparkan bilangan orang, dan tiada anak panah di sebelahnya

Saya sekali. fikir saya tidak boleh klik di sana (sebenarnya, kerana jumlah data terlalu besar, ia mengambil masa yang lama untuk memuatkan, jadi saya mengklik kembali secara langsung, yang memberikan saya perasaan bahawa tiada apa-apa di sini) , selepas masuk, anda boleh melihat maklumat semua orang yang log masuk.

Selepas saya mencuba pengguna yang berbeza, saya mendapati bahawa maklumat pengguna di sini tidak mempunyai sekatan kebenaran, yang bermaksud ia boleh dilihat oleh semua orang, dan keizinan jelas dikonfigurasikan secara tidak betul. Aplikasi ini juga mempunyai beberapa fungsi pertanyaan Alat BURP menunjukkan bahawa format paket data yang dikembalikan adalah JSON

Cuba menyuntik JSON dan mencuba XXE tidak membantu Kerana saya tidak mempunyai banyak pengalaman. Terdapat parameter lain di hadapan, cuba?

Ada drama!

Cuba xss

Memasukkannya ke dalam penyemak imbas berjaya muncul!

Atas ialah kandungan terperinci Cara Menjalankan Ujian Penembusan APK Dibenarkan. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!