0x24bin's Blog

一、目标 我们来分析另一个电商App的sign签名算法，先打开一个商品页,抓包结果: 1:charles 二、步骤 jadx全局搜索 sign 晕倒，7000多个结果，肯定没法玩。 再尝试下 sign=、 "sign" 1:jadx1 这次效果不错，只有几十个结果，而且这个很眼熟，点进去看看: 1:jadx2 这也太明显了，getSign 函数名都起的这么霸气。 Hook getSign var DispatchParamBuilderCls = Java.use('anet.channel.strategy.dispat...

一、首先打开IDA 中dbgsrv文件夹，将里面的 android_server 传输到手机上 切换到IDA文件路径中D:\Program Files (x86)\IDA 6.8\dbgsrv adb push android_server /data/local/tmp 二、运行android_server C:\Users\cccv20>adb shell [email protected]:/ $ su su [email protected]:/ # cd /data/local/tmp cd /data/local/tmp 1|[email protected]:/data/local/tmp # chmod 777 android_server chmod 755 android_s...

0x00 前言 skay之前在审计solr的时候发现了一个任意文件读取的漏洞，不过报给官方后官方拒绝修复，认为这不是一个漏洞（？？？？） 既然不是漏洞，那么现在就公开吧，大家开心一下也好的。 其实cert那篇里已经发过了，但是太长了放在最后面怕大家看不见，所以征得skay大小姐的同意后决定重新发一下。 0x01 正文 全版本任意文件读取(官方拒绝修复) 默认安装未授权情况下，各项配置皆为默认 下载Solr最新版...

前言 由于本人使用的是Mac来做开发，并且最近要做逆向相关，苦于网上多数教程都是Win的，没办法只有到处搜集资料和自己踩坑，摸着石头过河。这里分享一下Mac来做的整个过程。目标，IDA动态调试，dump dex脱壳。 脱壳的话，目前两种方法，一种动态调试，一种xposed，当前为动态调试学习 环境： macOS 10.14.1 root过后的手机 htc 4.4.2 IDA 7.0 附送地址 IDA mac 高版本崩溃解决适配 mprop 设置手机所有应...

APP抓包问题已经是老生常谈的一个问题了，今天正好碰到这个问题，经过一番折腾最终解决了这个问题。   先解决安卓7手机/模拟器正常抓包问题： 1、先把burp的der证书导出 2、使用opensl对证书进行相应的配置 将der转换成pem，命令如下： 1 openssl x509 -inform DER -in cacert.der -out cacert.pem 3、查看pem证书的hash值并记录，命令如下： 1 openssl x509 -inform PEM -sub...

一、前言 最近在编码美丽小密圈里面有人问了最近很多app都做了应用防抓包策略，没法抓包了，这个最近我正好需要手机样本然后分析出现在大部分的应用的防抓包策略，整理说一下，当然前提需要先分析多个样本才能总结，所以就在小密圈里收到了很多人反馈的一些app，后续会对这些样本进行防抓包策略分析，今天首先来看一下这款借款理财应用的防抓包策略。   二、逆向抓包分析 首先我下载了最新的版本应用...

一、前言 之前已经介绍了某借款应用他的抓包策略防护，因为在小密圈里有人告知这个应用有一个抓包策略，抓不到数据包了，所以就分析的确他的最新版已经做了一些防护比如签名校验，Xposed防护等导致JustTrustMe插件以及之前介绍的升级版插件都用不了了，不过再怎么变他都是用的okhttp网络框架，设置ssl信息也就是那几个接口，但是因为现在Xposed插件没法用了，所以我们只能手动的去分析代码了。今天这篇文章...

【注意：此文章为博主原创文章！转载需注意，请带原文链接，至少也要是txt格式！】 某天因为需要调用腾讯某产品内部的一些数据，但是无奈没有API接口，那么只有通过类似爬虫的方式进行登录，然后调用相关功能点。 如上图所示，首先就需要登录，然后获取登录态，这里通过抓包发现，密码是被加密然后进行base64编码之后传递到服务端的。那么首先就应该找出密码加密的方式，如下图： 登录之前首先获取公...

从这一篇文章开始，我么就要开搞iOS相关的东西了，包括正向开发和逆向分析，因为不能仅仅局限于Android的世界，iOS的世界依然很美，同时我也是经常使用iPhone的，一直都想用上自己开发的插件，不过越来越觉得iOS不如Android好用了，本文主要介绍一下后续开搞的基本知识点。看看开发iOS需要知道哪些东西和需要准备哪些工具，具体和Android做比对。 一、应用开发和发布 关于应用发布已经账号开发，iOS和Andr...