使用Fiddler对手机APP抓包渗透测试实战

朋友让帮忙投票，想着随手一测，没想到真有洞还

web端点击就提示下载手机app，不知道他是咋检测的，就下了某日报app

既然是app，首先使用 fiddler 抓取手机流量，用电脑模拟器或者手机设置代理，将流量转发至电脑

具体步骤

首先需要保证手机和电脑在同一个WiFi下，如果是模拟器那没事了，但是设置方法一样，以手机为例

在fiddler中启动代理，tools-options

选择connections，设置代理端口，我用的9999
手机设置中设置代理，

服务器主机名填写电脑ip

端口就是fiddler中设置的端口

然后在fiddler中就可以抓到app的流量了

就下来就是抓包分析流量，在投票的包中发现sql注入漏洞，本来想测逻辑的

POST /index.php?c=vote&do=pc&p=111100&group=0&id=60 HTTP/1.1
Host: vote2.****.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; rv:78.0) Gecko/20100101 Firefox/78.0
Content-Length: 104
Accept: application/json
Accept-Language: zh-CN,zh;q=0.9,en-US;q=0.8,en;q=0.7
Cache-Control: no-cache
Content-Type: application/x-www-form-urlencoded
Cookie: *****
Origin: http://vote2.****.com
Pragma: no-cache
Referer: ****
X-Requested-With: XMLHttpRequest
Accept-Encoding: gzipu=3614

这个参数u就存在sql注入，使用sqlmap可以成功注入

在cookie和referer中有一些参数没有猜出是啥

使用Fiddler对手机APP抓包渗透测试实战相关推荐

使用Fiddler对手机APP抓包详细教程
使用Fiddler对手机APP抓包详细教程在实现用Fiddler对手机APP抓包过程中遇到了两个很棘手的问题,一个是设置代理后手机就上不了网,在手机上下载证书一直提示下载失败,第二个就是在fiddl ...
使用Fiddler实现手机APP抓包
手机上无法直接查看网络请求数据,需要使用抓包工具.Fiddler是一个免费的web调试代理,可以用它实现记录.查看和调试手机终端和远程服务器之间的http/https通信. fiddler没有手机客户 ...
使用Fiddler对手机App抓包
一.Fiddler配置 1.配置fiddler允许监听到https:(fiddler默认只抓取http格式的) 点击Tools>Options 选择HTTPS栏,勾选Capture HTTPS ...
Fiddler 网页采集抓包利器__手机app抓包
用curl技术开发了一个微信文章聚合类产品,把抓取到的数据转换成json格式,并在android端调用json数据接口加以显示: 基于weiphp做了一个掌上头条插件,也是用的网页采集技术:和一个创业 ...
Fiddler实现苹果手机APP抓包
Fiddler实现苹果手机APP抓包(保证手机与电脑在同一个局域网) Fiddler的设置如图所示,选择Tools-HTTPS进行勾选,然后进行Connections的设置,端口号改为8888,勾选 ...
（实战项目一）手机App抓包爬虫
手机App抓包爬虫 1. items.py class DouyuspiderItem(scrapy.Item):name = scrapy.Field()# 存储照片的名字imagesUrls = ...
常用工具（一）——安卓手机app抓包burpsuite
手机app抓包工具:burpsuite 前提条件 1.保证手机与电脑在同一个无线局域网下 2.找到手机网络位置>打开详情>打开代理选择手动>主机名设为电脑IP(如图) 3.burp ...
Fiddler+模拟器进行APP抓包及其注意事项
Fiddler+模拟器进行APP抓包安装Fiddler 安装模拟器 Fiddler配置模拟器配置导入https证书成果在配置中常见的问题设置代理后无法联网无法打开自定义规则安装Fidd ...
爬虫之手机APP抓包教程-亲测HTTP和HTTPS均可实现
当下很多网站都有做自己的APP端产品,一个优秀的爬虫工程师,必须能够绕过难爬取点而取捷径,这是皆大欢喜的.但是在网上收罗和查阅了无数文档和资料,本人亲测无数次,均不能正常获取HTTPS数据,究其原因是 ...

使用Fiddler对手机APP抓包渗透测试实战

使用Fiddler对手机APP抓包渗透测试实战相关推荐

最新文章

热门文章