2023年6月30日发(作者：)

APP渗透测试-抓包⼀、APP渗透测试原理APP渗透测试和Web渗透测试基本没有区别。APP(应⽤程序，Application)，⼀般指⼿机软件。⼀个⽹站存在SQL注⼊，⽤PC端浏览器去访问存在SQL注⼊漏洞，⽤⼿机浏览器去访问⼀样也存在SQL注⼊漏洞。APP⼤部分漏洞的存在并不是在客户端⽽是在服务端。服务端。例如：SQL注⼊、XSS、验证码绕过、越权漏洞、⽀付漏洞、CSRF、变量覆盖、反序列化、⽂件包含、SSRF、XXE、⽂件上传等等。只要Web有的漏洞，APP可能就有。渗透测试⽹站，其实核⼼是控制传参访问，如果说我们不对他进⾏访问和传参，那么他有可能被你渗透攻击下来吗？那么渗透测试的核⼼其实就是把控传参。其实和APP交互的还是服务器，⽤的还是HTTP协议，交互的服务器还是同⼀个，⽹站和APP和同⼀个服务器交互都是很正常的事情。⼀般都是⽤api通信，例如：正常⽹站的交互： 浏览器——>⽹站APP的交互： APP——>⽹站所以说可以抓Web⽹站的数据包，照样可以抓APP的数据包。参考案例：/?s=wooyun+app逻辑漏洞：/post/10278/ （空姐对话）假装打码：/post/10714/越权漏洞：/post/10172/ (奥运冠军)任意密码找回：/post/9621/SQL注⼊：/post/11214/XSS:/post/10169/

⼆、安装安卓模拟器 + 抓包1. 安装模拟器这边使⽤的是最新版的夜神模拟器，夜神模拟器，官⽹可以直接下载，最新版的雷神4模拟器是抓不了包的(已测试过)，其余的可以尝试下，建议使⽤夜神模拟器。夜神模拟器下载地址：/2. 设置代理安装证书这边使⽤的是Burp suite来抓取数据包。当然也可以尝试其他的抓包⼯具，⽐如Wireshark等。抓包前，⾸先得安装证书，使⽤FoxyProxy，Burp suite设置好代理，⼀般我们访问的都是http协议，如果遇到https协议的话是需要安装证书才可以抓包的。浏览器访问：127.0.0.1:8080,点击CA Certificate，下载证书，保存⽂件进⼊选项——>搜索证书——>查看证书——>导⼊证书，然后PC端的浏览器就可以使⽤Burp suite抓https协议⽹站的数据包了。接下来需要把证书复制到夜神模拟器中，直接把刚刚下载好的证书拖进模拟器中重命名为，到设置——>安全——>从SD卡安装——>——>设置⼀个密码——>为证书命名——>确定——>证书就安装好了接下来到Burp suite设置代理夜神模拟器设置代理，到设置夜神模拟器——>WLAN——>长按WiredSSID——>修改⽹络3. 抓包随便打开⼀个应⽤，使⽤Burp suite抓取数据包成功抓取数据包。