!
也想出现在这里? 联系我们
创意广告

记一次针对违规APP失败的实战渗透测试

前言

前几天晚上,基本上已经准备休息了,隔壁大佬突然发来一个网址,并附言是一个裸聊诈骗APP,需要帮忙看看,继而就有了这篇文章。

首先声明,由于本人技术问题,并没有拿到服务器权限。撰写本文只是记录一下本人的渗透测试思路,欢迎大佬提供不同的建议,通过这次的渗透测试,鄙人也发现了自己的短板,希望和大佬一起努力,一起进步。

怎么说呢,瞬间就睡意全无,打开电脑,开始干活

图片[1]-记一次针对违规APP失败的实战渗透测试-安全小天地

渗透思路

咱们已经知道这次的渗透目标是一个APP,对于APP的渗透测试,目前鄙人常用的思路就是

  1. 对APP进行抓包,分析数据包,进行类似于WEB端的渗透测试
  2. 对APP进行动静态分析,查看其代码,分析代码中的敏感信息(资源桶Accesskey、数据包加密iv及key等关键信息)等

通过以上两步的操作,一般情况下会出现不少的API接口,新的域名,然后就到了熟悉的web渗透测试,通过进行滚雪球操作,运气好的情况下会有很好的成果的,只不过,这次应该是碰到铁板了,也是自己的技术盲点,这就到后面说了。

各位看官,话不多说,开始操作。

图片[2]-记一次针对违规APP失败的实战渗透测试-安全小天地

模拟器抓包

首先先看看apk下载地址,这里就不放出来了,人家做了客户端检测,只有手机端ua才显示

图片[3]-记一次针对违规APP失败的实战渗透测试-安全小天地

从描述就可以看见端倪,年龄18+,还有下面的描述,只可意会不可言传呀

下载完apk,直接导入模拟器,配置好代理,burp一键启动

图片[4]-记一次针对违规APP失败的实战渗透测试-安全小天地

打开画面,就可以看见加载了数据包了

图片[5]-记一次针对违规APP失败的实战渗透测试-安全小天地

经过后续多次测试,发现这只是CloudflareCDN的泛播地址,并不是APP的业务地址,至于分析来源,这里是参考的微步在线的

图片[6]-记一次针对违规APP失败的实战渗透测试-安全小天地

随便输入手机号和邀请码,这次没有出现数据包了,提示网络状态不佳,估计有证书代理检测,直接上frida抓包大法梭哈

图片[7]-记一次针对违规APP失败的实战渗透测试-安全小天地

关于frida配合burpsuite抓取app数据包,这里可以看看鄙人博客

夜神模拟器抓包(3)–Frida配合fridaScript联动burp抓取APP数据包 

frida -U -f 包名 -l fridaScript脚本
图片[8]-记一次针对违规APP失败的实战渗透测试-安全小天地

可以发现,抓到数据包了,点击登录,但是数据都是加密的

图片[9]-记一次针对违规APP失败的实战渗透测试-安全小天地

只要破解这个加密,咱们就可以用看见发送什么数据到服务端了,这里放到后面apk分析里面讲。

这里有模拟器检测,没办法查看后续流程,只能转战其他方向,或者进行逆向绕过检测才可以继续了

图片[10]-记一次针对违规APP失败的实战渗透测试-安全小天地

通过抓包咱们获取了俩域名,然后就是对其进行信息搜集

很不巧的是,这里俩ip都配置了cdn,程序是通过laravel框架搭建的,并且此版本目前并没有相关的漏洞爆出,也是无从继续下手

有大佬手上有0day的可以试试哦

图片[11]-记一次针对违规APP失败的实战渗透测试-安全小天地

APP代码分析

上述虽然抓到数据包了,但人家加密,只能进行分析app源码,获取加密方式才可以继续

首先查看app是否加壳,然后采取相应的措施进行解决

图片[12]-记一次针对违规APP失败的实战渗透测试-安全小天地

没有加壳,那咱们就直接使用jadx进行查看即可

排除掉各种android框架,这里并没有任何程序运行相关的代码

图片[13]-记一次针对违规APP失败的实战渗透测试-安全小天地

此时到这里,鄙人就不知道该怎么弄了,疑惑了半天怎么没有逻辑代码呢,再翻了一会儿看见了lib库

怎么就把动态链接库忘记了呢,说干就干

图片[14]-记一次针对违规APP失败的实战渗透测试-安全小天地

是的,就是使用so进行封装的,但是这里对于so进行逆向,ida的使用还不是很熟练

将so文件拖入ida中一直提示缺少库,通过搜索得知需要将so进行合并

折腾好一会儿将so合并完成之后,使用神键F5一键反编译

图片[15]-记一次针对违规APP失败的实战渗透测试-安全小天地

这个确实超出能力范围了,太菜了,无奈下机

图片[16]-记一次针对违规APP失败的实战渗透测试-安全小天地

「渗透云记」公众号里主要记录我每天的所思所想,我会坚持更新质量不错的文章,感兴趣的小伙伴可以扫描下方二维码,谢谢支持! 安全小天地 - 公众号 - 渗透云记
© 版权声明
THE END
喜欢就支持一下吧
点赞18 分享
评论 抢沙发

请登录后发表评论

    请登录后查看评论内容