网络攻防中如何对手机app进行渗透测试分析，找出漏洞进行攻击，绕过登陆页面直接进入到后台，越权获取敏感信息？

最新推荐文章于 2024-05-13 22:30:00 发布
最新推荐文章于 2024-05-13 22:30:00 发布
阅读量1.2k 收藏 21
点赞数 29
分类专栏： Hacker技术提升基地 文章标签： 网络 智能手机 app 漏洞 提权 越权 渗透
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u014374009/article/details/135448971
版权

网络攻防中如何对手机app进行渗透测试分析，找出漏洞进行攻击，绕过登陆页面直接进入到后台，越权获取敏感信息？

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

本次实验环境所用工具为：夜神模拟器，drozer-2.3.4，sieve.apk，adb，adb作为移动与pc的调试桥，我这里也已经安装完成。

1.安装agent.apk

在模拟器中运行drozer，并打开Embbdded Server

在这里插入图片描述

2.开启一个对话

pc上，由于我使用的是夜神模拟器，端口是62001，需要先连接夜神模拟器，并且把drozer的31415端口进行转发，cd到drozer安装目录下，进入drozer控制台：

了解本专栏 订阅专栏 解锁全文 超级会员免费看
代码讲故事
关注
  • 29
    点赞
  • 踩
  • 21
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
订阅专栏
【APP渗透测试】Android APK常用测试工具(Drozer)安装及使用方法介绍
做自己喜欢的事，并将其发挥到极致！
03-22 1421
Drozer 是 MWR Labs开发的一款Android安全测试框架。是目前最好的Android安全测试工具之一。其官方文档说道: Drozer允许你一个普通Android应用的身份与其他应用和操作系统交互。在Web世界已经有了许多安全测试工具了，我们只需要给出一个目标，这些工具就会自动为我们安全测试报告。但Drozer与这样的自动化扫描器不同，Drozer是一种交互式的安全测试工具。使用Drozer进行安全测试，用户在自己的工作站上输入命令，Drozer会将命令发送到Android设备上的代理程序执行。
安卓渗透测试常用工具大合集
Cairo_A的博客
06-10 1799
技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。Android传承着Linux的血统，无疑使渗透 从机器端到各种终端，使用起来更加方便，工具集中了众多方法，大大提高了渗透的效率。网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去接私活完全没有问题。
渗透测试-Android-App渗透测试测试流程
weixin_33919950的博客
05-17 7328
渗透测试-Android-App渗透测试测试流程 0x01：前言： 仅作为记录以供参考 0x02：漏洞测试方法以及修复方案 一、组件以及源码安全 1、签名校验 命令： //test.apk 为要检测的包jarsigner.exe -verify test.apk -verbose –certs 如果显示jar已验证即为已做了签名校验 修...
安卓APP和小程序渗透测试技巧总结
网安君的博客
05-09 3377
安卓APP和小程序渗透测试技巧总结安卓7以上抓取https流量包证书信任首先安装OpenSSL，此步骤不再赘述，不会的朋友可以参考百度。然后安装模拟器（我使用的是夜神模拟器），此步骤不再赘述，不会的朋友可以参考百度。导出需要的证书使用openssl进行证书转换证书安装问题解决 安卓7以上抓取https流量包 由于安卓7开始对系统安全性做了些改动，导致APP不再信任用户安装的证书。所以我们抓取https流量包时会出现乱码、加密、无法访问等问题。下面记录一下解决方法。 证书信任 简单来说，就是把用户的证书导入到
移动 App 入侵与逆向破解技术－iOS 篇
最新发布
2401_84466359的博客
05-13 1180
通过综合运用各种工具，进行静态和动态分析，我们通过实战破解了微信的抢红包逻辑，明白了入侵常用的工具，上面的抢红包代码还有很多改进之处，比如没有判断红包的发送者是不是自己、也没有判断红包里面的文字是不是抢错三倍，有兴趣的童鞋可以尝试优化一下！
实战 | 记一次对iphone手机游戏的渗透测试
leah126的博客
02-10 1575
各位师傅好，我是女鬼水妖，某高校大二学生，热爱网络安全，主攻红队方向。账号密码就是为了获取 _session，同时 _session 是固定不变的 所以就可以说这个 _session 可以绕过来进行。再加上我本来是比较喜欢打游戏的，经过某公司渗透授权，对此游戏进行渗透测试。1. 移动端游戏是比较少进行渗透，我相信漏洞也是很多的，师傅们可以自己去挖掘。我们的目的不是登录其他用户的账号，我们是看是否能直接进行对数据库进行读取。先进行登录，发现它居然是用明文传输，没有经过其他加密算法进行加密。
apk和小程序渗透
weixin_58954236的博客
10-17 1150
小程序通信几乎百分百是使用https，只要抓到包，就可以进行渗透测试；删除cookie后相应的内容还是一摸一样，那么说明这个请求点有问题很可能存在越权漏洞；可以使用小程序的反编译工具，编译出小程序的源代码进行代码审计，获取里面的url地址尝试访问抓包；查找api，info等具有特殊含义的变量或函数（方法），通过这些特殊字符可以发现小程序的一些未授权、敏感信息泄露等信息安卓高版本不信任https的证书了，在给小程序安装证书，证书需要进行编译。
渗透测试之浅谈APK数据包解密
Machao629
02-11 8999
解决渗透测试过程中的数据包解密
网络web安全与攻防技术_漏洞分析_网络攻防_网络安全_vulnerability_
09-29
常见网络安全协议工具使用方法，web安全漏洞分析、漏洞案例，web攻防思路分享。
思维导图, 安全领域PHP代码审计;二进制漏洞分析;企业安全防御;渗透测试
06-30
包含一下从工具使用,到源码审计,到渗透测试思路,操作系统安全评估等.系统得给大家整理了学习方法. Nmap PHP代码审计 powershell语法 python regrex python SQLMAP SQLMAP-2 SSRF vi vim2 W3af web安全 web前端知识...
kali linux安全渗透教程_网络攻防_安全测试_KaliLinux安全渗透_
10-02
详细介绍如何使用kali linux进行网络攻防，渗透测试等
Web漏洞渗透测试靶场.zip
01-16
在靶场中，安全专业人员可以模拟攻击者的行为，发现系统和应用的漏洞，并进行渗透测试，从而及时修复和改进防御机制。同时，这也为防御方提供了锻炼机会，通过对抗攻击提高防御能力。 靶场的搭建还促进了团队协作与...
常见APP攻击方法 以及防御方法介绍(移动安全)
键盘的起始页
11-25 6839
用户打开安卓手机上的某一应用，这时，恶意软件侦测到用户的这一动作，如果立即弹出一个与该应用类似的界面，拦截了合法的应用，用户几乎无法察觉，该用户接下输入账号、卡密什么的 其实是在恶意软件上进行的，接下来会发生什么就可想而知了。用户财产损失、隐私泄露；1、恶意应用监听了受害者应用的启动操作，然后弹出UI界面覆盖受害者，让用户误以为是目标应用的窗口，进而冒充盗取用户账号密码、卡密等操作。逆向分析工具 IDA Pro、jdb、gdb、class-dump-z、Clutch、introspy、Cycript等。
APK的安全性（一）--如何攻击
NoClay's Home
09-18 2525
APK的安全性可以通过修改客户端文件篡改客户端行为。攻击者可以让客户端显示自己制作的钓鱼网站，偷取用户信息以下攻击部分摘自知乎：https://www.zhihu.com/question/41368839/answer/112182560防御部分摘自如下博文：http://blog.csdn.net/jiangwei0910410003/article/details/48415225http:/
使用调试器攻击安卓APP
清枫逸寒
03-11 4125
在这篇博文中，我将带领大家学习如何将调试器附加到一个Android应用程序上，并利用第一次反编译得到的信息来分析应用的方法调用过程。比较独特的一点是，本方法并不需要获取安卓设备的root权限。在移动应用渗透测试时该方法可以派上用场，因为在应用程序运行过程中，我们可以一步步进入到它的逻辑内部，并有可能获得该应用的关键信息，而通常其他方法却无法做到这一点。例如，在加密前拦截数据流，程序运行时获取加密密钥，获取密码以及其他的敏感数据。对移动应用渗透测试员和那些想深入了解安卓平台上的攻击方式的开发者来说，这篇博文将
六种黑客入侵手机的常见方式
Karka_的博客
11-28 1160
如果您在网络钓鱼站点上输入您的信息，它们会立即传输给黑客，然后黑客可以访问您的应用程序。如果您下载并安装非法应用程序并授予它适当的权限，它可能会开始记录您的密钥和活动。如果您想保护您的个人信息并避免成为黑客攻击的受害者，您需要始终保持谨慎，将所有随机链接视为可疑链接，并在下载任何新应用之前进行研究，在手机上安装防病毒软件也是一个明智的主意。在移动网络科技高速发展的今天，我们每个人的手机都有可能成为黑客攻击的对象，下面为大家介绍6种黑客入侵手机的常见方式，希望能够帮助大家避免手机被不对象攻击。
渗透测试-安卓APP经验总结
aming小老弟
04-20 2415
安卓渗透经验
渗透测试之App安全测试详解
qq_43775006的博客
01-30 2653
对于App安全渗透测试来说可将其检测方向分为七大模块，分别是客户端程序安全、敏感信息安全、密码安全、安全策略、进程保护、通信安全和业务安全。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

代码讲故事

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值