- 博客(14)
- 收藏
- 关注
RSS订阅翻译 iOS应用安全Part41：使用LLDB调试APP
本文中，我们将学习使用Xcode中的LLDB调试器来调试应用程序，并深入地理解为何对于安全测试来说LLDB是更好的选择，然后学习如何使用它来调试iOS应用程序。
2015-04-25 14:14:59
791
翻译 iOS应用安全Part40：在Mac上测试APP
本文中我们将学习如何在Mac电脑上直接测试APP。为什么不直接在iOS设备上测试呢？原因有很多，有时你可能并没有一个iOS越狱设备，但却想要得到APP中漏洞的POC。所以，这篇博文中我们将讨论在Mac上测试APP时能够做什么。为了在Mac上测试测试APP，首先需要在Mac上安装Xcode，然后我们会在iOS模拟器上运行APP。
2015-04-25 13:51:27
1678
翻译 iOS应用安全Part4：使用Cycript进行运行时分析
在本文中，我们将学习如何使用一个名为Cycript的重要工具来分析和修改一个iOS应用程序的运行时，本文中我们以“雅虎天气”iOS应用作为示例App。
2015-03-28 10:57:23
1000
翻译 iOS应用安全Part39：获取内存中的敏感信息
在本篇博文中，我们将着手分析一个iOS应用内存中的内容。iOS应用的内存中可能存留有像密码、会话ID等之类的敏感信息。在某些情况下，可能无法选择性地释放这些变量。例如，应用程序可能需要为每个请求发送一个认证令牌，所以在内存中的某个地方肯定存在着对它的引用。尽管这些变量可能经过加密之后才存储在应用程序本地，不过程序运行时这些变量的值将以解密状态存在。因此，在对一个iOS应用进行渗透测试时，分析内存中的内容将是一件非常重要的事。同时提醒应用开发者，如果有一些重要的属性或实例变量不再需要，那么应该及时将它们从内存
2015-03-28 09:00:38
1637
翻译 iOS应用安全Part38：iOS中的Parse安全
Parse（解析）是一个很不错的BaaS（后端即服务），它有助于为你的移动应用尽可能快地建立后端基础设施。也许正是因为它的简洁性，很多开发者忘记了许多新的安全问题和其中存在的漏洞。
2015-03-27 14:33:50
671
转载 Python破解12306图片验证码
不知从何时起，12306的登录验证码竟然变成了按字找图，可以说是又提高了一个等次，竟然把图像识别都用上了。不过有些图片，不得不说有些变态，图片的清晰图就更别说了，明显是从网络上的图库中搬过来的。谁知没多久，网络就惊现破解12306图片验证码的Python代码了，作为一个爱玩爱刺激的网虫，当然要分享一份过来。代码大致流程：1、将验证码图片下载下来，然后切图；2、利用百
2015-03-18 22:08:01
6889
2
翻译 iOS应用安全Part3：理解Objective-C运行时
几乎所有的原生iOS应用都是用Objective-C语言写的，所有这些APP都使用Cocoa，这是一个处在Objc-C顶端的库，它提供了高级API，使Mac和iOS的开发工作更加简单。此外，Cocoa还为APP提供了一个运行时环境。在本文中，我们将重点理解Objective-C运行时，以及Objective-C如何在内部运行等这些复杂细节。掌握这些将有助于我们更加深入地理解iOS应用的安全性。
2015-03-18 21:34:04
1071
翻译 iOS应用安全Part2：获取iOS应用的类信息
在本文中，我们将着眼于如何分析iOS设备上任何预装的APP，或者从苹果App商店下载的其他APP，并收集关于APP源代码的一些信息，例如它使用的类信息、视图控制器名字、内部库文件以及更复杂的细节，如特定类或视图控制器的变量和方法名。下面，我们将学习如何解密从App商店下载的应用程序，并dump应用程序使用的所有图片、plist文件。
2015-03-18 15:06:11
804
转载 详解Android App AllowBackup配置带来的风险
前言笔者在使用自己编写的 Drozer 模块对国内流行的安卓手机应用进行自动化扫描后发现有大量涉及用户财产和隐私的流行安卓应用存在 Android AllowBackup 漏洞，已测试成功受到漏洞影响的应用包括：新浪微博，百度云网盘，美团，大众点评等等。漏洞案例先来看一个情景案例，某IT男一直暗恋部门某女神，一天女神手机太卡了找IT男帮助清理手机空间，IT 男高兴地答应女神
2015-03-14 11:42:03
1316
翻译 iOS应用安全Part1：搭建移动渗透测试平台
在本系列文章中，我们将共同学习针对iOS应用的渗透测试和漏洞评估的相应工具和技术。在本文中，我们共同学习了如何越狱iOS设备，并安装一些我们以后会用到的应用程序，最后学习了如何在越狱设备上搭建一个移动审计环境。
2015-03-13 10:24:13
2060
翻译 使用调试器攻击安卓APP
在这篇博文中，我将带领大家学习如何将调试器附加到一个Android应用程序上，并利用第一次反编译得到的信息来分析应用的方法调用过程。比较独特的一点是，本方法并不需要获取安卓设备的root权限。在移动应用渗透测试时该方法可以派上用场，因为在应用程序运行过程中，我们可以一步步进入到它的逻辑内部，并有可能获得该应用的关键信息，而通常其他方法却无法做到这一点。例如，在加密前拦截数据流，程序运行时获取加密密钥，获取密码以及其他的敏感数据。对移动应用渗透测试员和那些想深入了解安卓平台上的攻击方式的开发者来说，这篇博文将
2015-03-11 21:37:51
4122
翻译 理解PHP对象注入
PHP对象注入并不是一种十分常见的漏洞，这种漏洞可能会比较难利用，但是这种漏洞可能比较危险。为了学习这种漏洞，首先需要理解基础的PHP代码。
2015-02-22 14:42:25
706
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人