0x4edf

14X security organization


Android,IOS代码审计,全量业务逻辑常见技术分享


1,下载手机软件后,可使用apktool进行反
编译,查找字符集漏洞,以及组件漏洞
,文件签名,代码缺陷等

2,burp可进行逻辑性构造测试
比如手机号138登陆,在接口处截取数据包,查看源代码,是否有延时登陆限制
接口代码,是否对应类似WSDL XML,验证码是否加密,是否可以存在重放

3、未授权功能性测试,作为安全人员,
要了解如何进行业务流程
常见测试逻辑的方法
BURP,登陆后,得到COOKIE,退出当前的,然后burp截取数据包,进行未授权访问
注意JSON传入的数据,是否有问题

4、类似签到功能
截取数据包,点默认签到1次
然后分析数据包,是否存在限制,是否判断cookie签到,能否进行伪造

5、外壳测试功能
可采取撞库,'having 语句,or 1=1进行绕过
SQL --forms自动注入

6、内壳测试功能,XSS,注入,CSRF
POST, GET方法交互性执行
GET方法,可使用POST
POST方法,可使用GET进行互换,测试

7、上传测试功能
判断文件名是否过滤
gif89a
合并 copy 1.jpg /b +2.txt 1.jsp
1.asp%00.jpg  00%截断
php截断%00
php_空格上传
php4,php5
.cer
.ashx
.php.jpg

8、任意文件读取测试功能
注意filename文件变量的利用
down?id=../../../
观察下载文件,正常文件,伪造../etc/passwd
组合,另外下载文件处可使用--time-sec 进行延时注入测试

9、平行权限测试功能
准备两个账号,A为管理员账户
B为测试账号,截取管理员的功能代码
然后以B账号登陆后,访问A

10、逻辑漏洞测试功能
比如验证码替换登陆
A,1  B 1
忘记密码处,A,B同时忘记密码,验证码发送A,接收到A的验证码,放到B上,进行逻辑绕过
登陆处,A进行验证码发送,接收到A,然后登陆的时候,截取数据包,把username参数替换成B进行登陆绕过


以上就是常见的10种方法,最近没时间写文章,有空再写...