安基網 首頁 安全 滲透測試 查看內容

雪缘园nba即时比分:一次對客戶APP滲透測試服務 深挖漏洞防止攻擊的辦法

英超雪缘园 www.trual.com.cn 2019-12-27 08:48| 投稿: xiaotiger |來自: 互聯網


免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!

摘要: IOS端的APP滲透測試在整個互聯網上相關的安全文章較少,前幾天有位客戶的APP數據被篡改,導致用戶被隨意提現,任意的提幣,轉幣給平臺的運營造成了很大的經濟損失,通過朋友介紹找到我們尋求安全解決方案,防止APP繼續被篡改與攻擊,針對客戶的這一情況我們立即成立安全應急響應小組,對客戶的APP以及 ...

IOS端的APP滲透測試在整個互聯網上相關的安全文章較少,前幾天有位客戶的APP數據被篡改,導致用戶被隨意提現,任意的提幣,轉幣給平臺的運營造成了很大的經濟損失,通過朋友介紹找到我們尋求安全解決方案,防止APP繼續被篡改與攻擊,針對客戶的這一情況我們立即成立安全應急響應小組,對客戶的APP以及服務器進行了全面的安全滲透。

首先要了解客戶的IOS APP應用使用的是什么架構,經過我們安全工程師的詳細檢查與代碼的分析,采用的是網站語言開發,PHP+mysql數據庫+VUE組合開發的,服務器系統是Linux centos版本。

我們搭建起滲透測試的環境,下載的客戶的最新APP應用到手機當中,并開啟了8098端口為代理端口,對APP的數據進行了抓包與截取,打開APP后竟然閃退了,通過抓包獲取到客戶的APP使用了代理檢測機制,當手機使用代理進行訪問的時候就會自動判斷是否是使用的代理,如果是就返回錯誤值,并強制APP退出,斷掉一切與APP的網絡連接。那么對于我們技術來說,這都是很簡單的就可以繞過,通過反編譯IPA包,代碼分析追蹤到APP代理檢測的源代碼,有一段代碼是單獨設置的,當值判斷為1就可以直接繞過,我們直接HOOK該代碼,繞過了代理檢測機制。

接下來我們安全工程師對客戶APP的正常功能比如:用戶注冊,用戶密碼找回,登錄,以及用戶留言,用戶頭像上傳,充幣提幣,二次密碼等功能進行了全面的滲透測試服務,在用戶留言這里發現可以寫入惡意的XSS跨站代碼到后端中去,當用戶在APP端提交留言數據POST到后臺數據,當后臺管理員查看用戶留言的時候,就會截取APP管理員的cookies值以及后臺登錄地址,攻擊者利用該XSS漏洞獲取到了后臺的管理員權限,之前發生的會員數據被篡改等安全問題都是由這個漏洞導致的,客戶說后臺并沒有記錄到修改會員的一些操作日志,正常如果管理員在后臺對會員進行操作設置的時候,都會有操作日志記錄到后臺中去,通過客戶的這些反饋,我們繼續對APP進行滲透測試,果然不出我們料,后臺里有上傳圖片功能,我們POST截取數據包,對上傳的文件類型進行修改為PHP后綴名,直接POST數據過去,直接繞過代碼檢測上傳了PHP腳本文件到后臺的圖片目錄。

我們對上傳的網站木馬后門也叫webshell,客戶網站后臺存在文件上傳漏洞,可以上傳任意格式的文件,我們又登錄客戶的服務器對nginx的日志進行分析處理,發現了攻擊者的痕跡,在12月20號晚上,XSS漏洞獲取后臺權限并通過文件上傳漏洞上傳了webshell,利用webshell獲取到了APP的數據庫配置文件,通過webshell內置的mysql連接功能,直接對會員數據進行了修改,至此客戶會員數據被篡改的問題得以圓滿的解決,我們又對其他功能進行滲透測試發現,用戶密碼找回功能存在邏輯漏洞,可以繞過驗證碼直接修改任意會員賬號的密碼。
這次APP滲透測試總共發現三個漏洞,XSS跨站漏洞,文件上傳漏洞,用戶密碼找回邏輯漏洞,這些漏洞在我們安全界來說屬于高危漏洞,可以對APP,網站,服務器造成重大的影響,不可忽視,APP安全了,帶來的也是用戶的數據安全,只有用戶安全了,才能帶來利益上的共贏。如果您對滲透測試不懂的話,也可以找專業的網站安全公司,以及滲透測試公司來幫您檢測一下。


小編推薦:欲學習電腦技術、系統維護、網絡管理、編程開發和安全攻防等高端IT技術,請 點擊這里 注冊賬號,公開課頻道價值萬元IT培訓教程免費學,讓您少走彎路、事半功倍,好工作升職加薪!

本文出自:https://www.toutiao.com/a6774578270940692999/

免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!

相關閱讀

最新評論

 最新
返回頂部
{ganrao}