app渗透教程 抓包突破限制

作者头像
首页 🧮综合教程 正文
每当遇到一些 APP 渗透测试项目的时候,抓不了包的问题令人有点难受,但是抓不了包并不能代表目标系统很安全,那么接下来我会整理一下目前我所了解到的一些抓包方法
APP正常抓包
①burp配置

image.png

②导入burp中的.cer证书

image.png

③模拟器配置

image.png

MobSF - 移动安全测试框架
https://www.oschina.net/p/mobsf?hmsr=aladdin1e1
静态分析
      解析AndroidManifest.xml得到了应用程序的各类相关信息、对apk进行反编译得到java代码,而后利用正则匹配找出该app包含的API函数、URL、邮箱集帐号密码等敏感信息。
动态分析
       而动态分析部分,MobSF主要利用到了Xposed框架、Droidmon实现对应用程序调用API的情况进行监控,并且详细列出了需要分析的API列表。同时,MobSF还使用了ScreenCast结合adb shell input 完成对手机的远程控制功能。动态分析主要操作有:
利用webproxy实现代理进而拦截样本流量。
安装证书以便拦截https流量。
遍历所有activity,尽量多的获取各activity运行得到的日志。
利用正则匹配出API及参数和返回值。

APP抓包限制突破
文章:https://blog.csdn.net/m0_51345235/article/details/131883033
1.反app走其他协议
通过科来分析系统可抓到其他协议的数据包

image.png

2.反模拟器检测绕过
    ①用真机配合抓包精灵即可抓包/如若担心数据被窃取使用VMOS Pro 

image.png

②模拟器模拟真机

image.png

3.反证书检测
    通过绕过反证书反代理
    ①安装 Xposed框架和JustMePlush激活

image.png

 ②激活模块

image.png

    ③在JustMePlush选择app即可正常抓包
4.反代理检测
    ①通过Proxifier流量转发绕过

image.png

②通过Postern流量转发绕过

image.png

image.png

本站资源仅供学习交流使用请勿商业运营,严禁使用模板&源码从事违法,侵权等非法活动!如链接失效内容有误,请到评论反馈。

免费声明

  1. 本网站的文章内容可能来源于网络,仅供大家学习与参考,如有侵权,请联系站长QQ:304906607进行删除处理。
  2. 文章采用: 《署名-非商业性使用-相同方式共享 4.0 国际 (CC BY-NC-SA 4.0)。
  3. 本站资源大多存储在云盘,如发现链接失效,请联系我们我们会第一时间更新。
  4. 本站一切资源不代表本站立场,并不代表本站赞同其观点和对其真实性负责。
  5. 本站一律禁止以任何方式发布或转载任何违法的相关信息,访客发现请向站长举报
  6. 本站永久网址:https://www.aybk.cn
微信怎么开通香港微信钱包?
« 上一篇 11-18
Adobe InDesign 2024 v19.0.1.205特别破解版
下一篇 » 11-17

发表评论

请先登录后才能发表评论

没有更多评论了

个人信息

HI好朋友 ! 请登录
开通会员,享受下载全站资源特权。
百度一下

随便看看

大家都在看

2025年 乙巳年 蛇年
13 : 36 : 00
公历日期
9月26日
农历日期
八月初五
星期
星期五
下午好
金秋时节,愿您收获满满
距离国庆节还有5天
登陆
还没有账号?立即注册
点击按钮进行验证
忘记密码?
登陆
忘记密码
已经有账号?马上登陆
获取验证码
重新获取(60s)
点击按钮进行验证
重置密码
注册
已经有账号?马上登陆
获取验证码
重新获取(60s)
点击按钮进行验证
立即注册