Android APP静态分析存储不安全和密码的硬编码泄漏,导致登录短信管理系统并劫持短信接口配置
摘要:Android APP静态分析存储不安全和密码的硬编码泄漏,导致登录短信管理系统并劫持短信接口配置。
Android APP静态分析存储不安全和密码的硬编码泄漏,导致登录短信管理系统并劫持短信接口配置。
由于测试项目的范围涉及相关制造商的Android应用程序,因此将该应用程序下载到了Android手机上,并取出其APK文件进行静态分析。
获取APK文件后,我们需要对其进行反编译以在其中找到Java类文件进行分析。
我们将目标应用程序的APK文件放在另一个单独的文件夹中,将其后缀从.apk更改为.zip,然后解压该zip文件。之后,我们可以看到一些xml文档,路径文件,模板资源文件等。这些文件中的目标是classes.dex文件。解
压后通常会找到一个或多个classes.dex文件。接下来,我们使用dex2jar通过以下命令将dex文件转换为Java文件:
dex2jar classes.dex
如果此命令不起作用,则可以使用另一个版本的dex2jar命令:
d2j-dex2jar classes.dex
运行上述命令后,该文件夹中将生成一个Java文件,例如classes_dex2jar.jar。有了这个文件,我们将使用另一个有用的工具对其进行反编译。在这里使用JD- GUI。使用它打开生成的jar文件后,我们可以看到很多Java资源文件,并且可以保存和读取这些不同的资源文件。
代码分析
完成上述工作后,我们可以仔细分析Android APP中的代码并返回到我们的目标APP。根据检查列表分析,很快找到了一个名为Constant.java的文件,该文件位于应用程序的SMS路径中,包含一些分散的信息,例如Username、Loacation、Password其他硬编码服务信息。一般情况如下:
进一步分析发现,该APP使用了reson8公司的即时通讯平台进行商业推广,浏览reson8公司网站,发现它具有用户登录界面,因此认为该用户名 上述静态分析中泄露的Username和Password直接在这里登录查看。输入并提交后,立即进入目标APP公司的SMS发送管理系统:
该管理系统是一个SMS API网关,通过它可以实现管理操作,例如以SMS为目标的发送设置,营销升级和充值,更重要的是可以下载用户的手机号码。
总结一下
在对APP进行动态分析和其他分析之前,建议对其进行一些静态分析,可以根据其自己的列表进行分析,从中可以获得一些意料之外的零散信息。对于APP应用程序公司,重要的是避免在APP中存储一些与密码凭据有关的信息,即使有必要,也需要一些适当的加密处理。
相关热词搜索:Android APP 静态分析 硬编码泄漏 登录短信管理系统 劫持短信 重庆网络安全公司
上一篇:执行分段免杀,使用Xor加密具有不同密钥的弹出cmd程序
下一篇:AuthMatrix:BurpSuite工具,用于Web应用程序和服务的身份验证和安全性测试
热门资讯

自动发现IDOR(越权)漏洞的方法:使用BurpSuite中的Autozie和Autorepeater插件来检测和识别IDOR漏洞,而无需手动更改每个请求的参数
牛创网络: "自动发现IDOR(越权)漏洞的方法:使用BurpSuite中的Autozie和Autorepeater插件来检测和识别IDOR漏洞,而无需手动更改每个请求的参数
2020-01-30 14:04:47 )1602( 亮了
人机验证(Captcha)绕过方法:使用Chrome开发者工具在目标网站登录页面上执行简单的元素编辑,以实现Captcha绕过
牛创网络: " 人机身份验证(Captcha)通常显示在网站的注册,登录名和密码重置页面上。 以下是目标网站在登录页面中排列的验证码机制。 从上图可以
2020-01-26 12:44:09 )1461( 亮了
Nginx反向代理配置及反向代理泛目录,目录,全站方法
牛创网络: "使用nginx代理dan(sui)是http响应消息写入服务地址或Web绝对路径的情况。 写一个死的服务地址是很少见的,但它偶尔也会发生。 最棘手的是写入web绝对路径,特别是如果绝对路径没有公共前缀
2019-06-17 10:08:58 )798( 亮了
前端开发技术之ES6快速入门(一)
牛创网络: "说了这么多,我们现在就说下“三个点”的应用把,我们知道函数的参数是一个集合(arguments)并不是一个真正的数组。那么我们怎么才能在这个arguments中加一项呢??
2019-04-27 23:06:32 )752( 亮了
Sudo漏洞(CVE-2019-18634):在某些配置下,它可能允许低特权用户或恶意程序在Linux或macOS系统上以root用户身份执行命令。
牛创网络: "Sudo是常用的实用程序之一,预装在macOS设备和几乎所有UNIX或Linux操作系统上的重要命令,为用户提供了不同的特权,可在不切换操作环境的情况下运行应用程序或命令。
2020-02-05 11:49:49 )653( 亮了
微软发布KB4551762安全更新:Windows 10(SMBv3) 预授权RCE漏洞CVE-2020-0796
牛创网络: "微软发布KB4551762安全更新:Windows 10(SMBv3) 预授权RCE漏洞CVE-2020-0796。
2020-03-13 18:28:16 )644( 亮了
论网络营销对企业发展中的作用
牛创网络: "网络营销是指运营商基于电子信息技术,以计算机网络为媒介和手段进行的各种营销活动(包括网络研究,网络新产品开发,网络推广,网络分发,网络服务等)的总称。
2019-05-21 10:08:08 )600( 亮了
Kali Linux即将推出的2020.1版安全模型重大改革——默认非root用户
牛创网络: "Kali Linux团队在Twitter上宣布:“新的一年是进行重大改变的好时机,因此,我们宣布在即将发布的2020 1版本中,Kali安全模型也将进行重大改革——默认非root用户。”
2020-01-08 10:17:18 )591( 亮了
Apereo CAS 4.X反序列化漏洞:存在于登录的execution参数,漏洞分析及复现
牛创网络: "Apereo CAS 4 X反序列化漏洞:存在于登录的execution参数,漏洞分析及复现。
2020-02-10 12:34:11 )587( 亮了
微擎安装使用技巧-微擎安装的时候页面显示空白是怎么回事?
牛创网络: "我们在公众号开发中,有时候会用到微擎,那我们来看一下微擎安装的时候页面显示空白是怎么回事吧
2019-06-08 15:34:16 )522( 亮了