信息打点-APP资产&知识产权&应用监控&静态提取&动态抓包&动态调试

案例1：名称获取APP信息（爱企查/小蓝本/七麦/点点）

1、爱企查知识产权 2、七麦&点点查名称 https://www.xiaolanben.com/ https://aiqicha.baidu.com/ https://www.qimai.cn/ https://app.diandian.com/

案例2：URL网站备案查APP

1、查备案信息在搜 2、网站上有APP下载 3、市场直接搜单位名称

通过获取App配置、数据包，去获取url、api、osskey、js等敏感信息。 1、资产信息-IP 域名 网站 -转到对应Web测试 接口测试 服务测试 2、泄露信息-配置key 资源文件 - key（osskey利用，邮件配置等） 3、代码信息-java代码安全问题- 逆向相关 APP中收集资产 1、抓包-动态表现 2、提取-静态表现&动态调试 3、搜索-静态表现

1、抓包抓表现出来的数据 优点：没有误报 缺点：无法做到完整 2、反编译从源码中提取数据 优点：数据较为完整 缺点：有很多无用的资产 3、动态调试从表现中提取数据 优点：没有误报，解决不能抓包不能代理等情况 优点；搞逆向的人能看到实时的app调用链等 缺点：无法做到完整

案例：某APP打开无数据包，登录有数据包（反编译后未找到目标资产，抓包住到了） 原因：那个登录界面是APP打包的资源，并没有对外发送数据

案例3：APP提取信息-静态分析

1、MobSF 2、AppInfoScanner 3、两个在线平台 https://mogua.co/ https://www.zhihuaspace.cn:8888/moBsf套壳

在这里插入图片描述

https://github.com/kelvinBen/AppInfoScanner

MObSF使用 https://github.com/MobSF/Mobile-Security-Framework-MobSF Windows - MobSF安装参考： https://www.cnblogs.com/B-hai/p/15696948.html https://blog.csdn.net/ljh824144294/article/details/119181803

案例3：APP提取信息-动态抓包

-前期部分抓包技术

案例3：APP提取信息-动态调试

-MobSF+模拟器