首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
您找到你想要的搜索结果了吗?
是的
没有找到

逆向系列篇:工具总结

文章首发于奇信攻防社区 原文链接:https://forum.butian.net/share/648 一、开发工具 开发工具主要是一些Java开发环境、集成开发环境和开发环境等 1、JDK...在官网直接下载即可,双击安装 安装类型 确认安装 二、逆向工具 这部分介绍的逆向工具是一些用于反编译、逆向分析的工具,可以将源程序反编译成可读代码,如Android Killer、Jadx...工具,将apk文件拖入可以查看是否加壳 3、模拟器 如果没有真机做实验的情况下,可以使用模拟器用于实验,大部分的模拟器都可以完成实验内容,但是注意的是模拟器也是一个虚拟机,不建议在虚拟机内安装模拟器...这里介绍几款不错的模拟器。...下载地址:https://www.bluestacks.cn 五、抓包工具 这部分介绍如何使用工具抓取手机上的流量,主要是BurpSuite和Fiddler工具,还有安装证书抓取HTTPS的过程

8.7K31

应用安全指南 5.4.3 通过 HTTPS 的通信 高级话题

通过以这种方式安装根证书,即使是使用示例代码“5.4.1.2 通过 HTTPS 通信”的应用,也可以通过 HTTPS 正确连接到使用私有证书操作的 Web 服务器。...下面显示了 HTTPS 通信的几个存在漏洞的代码片段。 当你找到此类代码片段时,强烈建议替换为“5.4.1.3 通过 HTTPS 与私有证书进行通信”的示例代码。...请参阅“5.4.1.3 使用 HTTPS 与私有证书进行通信”一节中介绍的示例代码,了解建立应用自己的KeyStore来执行 HTTPS 通信的详细方法。...使用私有证书通过 HTTPS 进行通信 “5.4.1.3 通过 HTTPS 与有证书进行通信”部分介绍了与私有证书(例如自签名证书或公司内部证书)的 HTTPS 通信的示例代码。...为了对应用执行的所有 HTTPS 通信使用私有证书,请使用标签,如下所示。 对应用执行的所有 HTTPS 通信使用私人证书 <?

67520

应用安全指南 5.4.2 通过 HTTPS 的通信 规则书

敏感信息必须通过 HTTPS 通信发送/接收。 5.4.2.2 必须小心和安全地处理通过 HTTP 接收到的数据(必需) HTTP 通信中收到的数据可能由攻击者利用应用的漏洞产生。...此外,你不应该盲目信任来自 HTTPS 服务器的数据。 由于 HTTPS 服务器可能由攻击者制作,或者收到的数据可能在 HTTPS 服务器的其他位置制作。...5.4.2.3 SSLException必须适当处理,例如通知用户(必需) 在 HTTPS 通信中,当服务器证书无效或通信处于中间人攻击下时,SSLException会作为验证错误产生。...5.4.2.4 不要创建自定义的TrustManager(必需) 仅仅更改用于验证服务器证书的KeyStore,就足以通过 HTTPS ,与例如自签名证书的私有证书进行通信。...当你需要通过 HTTPS 与私有证书进行通信时,请参阅“5.4.1.3 通过 HTTPS 与私有证书进行通信”中的安全示例代码。

52620

应用安全指南 5.4.1 通过 HTTPS 的通信 示例代码

当发送或接收敏感信息时,将使用 HTTPS 通信,因为其通信通道使用 SSL / TLS 加密。 以下敏感信息需要 HTTPS 通信。 Web 服务的登录 ID /密码。...而且你必须根据整个“系统”的安全设计和编码,为每个通信选择 HTTP 或 HTTPS。 表 5.4-1 用于比较 HTTP 和 HTTPS。 表 5.4-2 是示例代码的差异。...表 5.4-2 HTTP/HTTPS 通信示例代码的解释 示例代码 通信 收发敏感信息 服务器证书 通过 HTTP 的通信 HTTP 不适用 - 通过 HTTPS 的通信 HTTPS OK 服务器证书由可信第三方机构签署...如果应用无法接受该前提,请参阅“5.4.1.2 通过 HTTPS 进行通信”和“5.4.1.3 通过 HTTPS 使用私有证书进行通信”。...要点: URI 以https://开头。 发送数据中可能包含敏感信息。 尽管数据是从通过 HTTPS 连接的服务器发送的,但要小心并安全地处理收到的数据。

60020

端出现https请求失败的一次问题排查

排查过程 前期排查 开发首先介入,具体方式就是,因为可以复现,找了个设备,连接电脑就可以debug app(没搞过,具体不清楚),后面说是获取截屏配置的接口(https)报错了: ret:...后端开始介入 因为侧认为自己没问题,产品后面来找我,我才开始介入这个问题。...端没法看,电脑端没法用简单的方式抓包,我了解到的一些抓包的办法都是很复杂,不搞开发的话,光是搭环境都要搭半天那种;要么就是在手机上装抓包软件,但有些需要root,且能不能抓https这层检查证书...,我也持怀疑态度,我个人又是垃圾iphone,对确实不熟悉。...好些的专业抓包方案,就是基于hook,把证书校验的那些代码都给hook掉,这类方案对于非开发人员还是困难了一点,要一整套工具链,以后换个遥遥领先的话,可以好好折腾下。

31610
领券