实战对某棋牌app渗透测试
2023-6-1 08:0:41 Author: 李白你好(查看原文) 阅读量:95 收藏

宝子们现在只对常读和星标的公众号才展示大图推送,建议大家把李白你好设为星标”,否则可能就看不到了啦!

0x01 前言

某天接到任务,要测试一个app。只扔过来一个链接,其余什么都没有。
就一个下载页面然后点击下载即可开启“致富”人生。现在很多棋牌都是这种套路直接扔一个静态页面下载软件开玩。真的是能省多少省多少。

0x02 开始测试

废话不多说下载app扔到模拟器测试。
模拟器打开如下:
点击没反应,以为是模拟器的问题于是换个模拟器继续测试发现问题一样。猜测是检测模拟器与手机。现在很多棋牌app都是会检测模拟器的,发现是模拟器运行会各种错误。
于是手机安装:
发现可以正常运行。实锤了是检测模拟器与手机。
app渗透的本质和web渗透区别不大,抓包测试。不过app的数据包有时候在pc打端不开因为不是web服务。
开始抓包:
游戏打开的时候会自动更新,更新数据包如下:
某某的一款app,目测是其中一个app还有很多个这样的app的。

0x03 SQL注入

进入游戏界面抓包:这是注册后进来的首页数据包。还有很多页面手测的数据包不一一发了因为没意义。
可能是时间延迟注入,扔到sqlmap:
mssql数据库,不是dba权限,不是sa。直接扔掉因为不能getshell。脱库我对这种没兴趣没有脱库什么的因为没意义。

0x04 越权

继续测试:
越权漏洞。修改id可任意查看玩家信息。
接着测:
游戏里有一个用金币买东西的活动,可以赢的时候多赢。经测试错在逻辑漏洞可以一直放包一直买不过没多大用。因为就算你买了也不行要充值够多少才可以使用。去你码的吧。然后我账号就被封了。

至此一共发现sql注入+越权+逻辑。
app逆向和渗透关系不大相当于pc逆向,顶多破解APP客户端。达不到渗透的作用。没了。

0x05 链接获取

文章来源:90sec(hackergov)
原文链接:https://forum.90sec.com/t/topic/1555

0x06 往期精彩

如何画出优雅的攻击流程图【攻防复盘必备】

干货分享 | 巧过360 核晶(内含思路+代码)


文章来源: http://mp.weixin.qq.com/s?__biz=MzkwMzMwODg2Mw==&mid=2247498780&idx=1&sn=2a8552f128da4309996dc4e7ef7c143b&chksm=c09a8f4cf7ed065a3d53bd69759f9dd8d6bb97ca11323d0dec1452a6a3ef66b02b56d4bb70d1#rd
如有侵权请联系:admin#unsafe.sh