APP抓包渗透测试首尝试
内容提要
本文介绍了抓取app数据包的方法和转传统Web渗透测试的技巧，包括Burp配置证书抓取模拟器流量与APP流量、Xpose框架绕证书校验和全局代理绕开证书校验。同时提到了进行APP转Web渗透测试的被动扫描、主动扫描和半手工测试的方法。强调了保护个人信息和获得书面授权的重要性。
延伸解读
三种抓包方式的适用场景与局限
文章介绍了Burp配置证书、Xposed框架绕证书校验和全局代理三种抓包方式。第一种适用于对抓包检测不严格的APP；第二种通过JustTrustMe等组件绕过SSL证书验证，适用于有证书校验的APP；第三种通过Proxifier等工具实现全局代理，绕开APP对模拟器代理的检测。但作者也指出，对于抓包检验极为严苛的APP，因缺乏授权项目，尚未涉及更多技巧。读者需根据目标APP的防护程度选择合适方法。
从APP抓包到Web渗透的资产梳理思路
文章强调，抓取APP数据包后，应先在Burp中记录所有点击过的功能点，初步获取关键子域资产信息，并通过ICP备案或与授权客户沟通确认资产归属，防止测试偏离目标。随后可在Burp的Target中查看资产目录结构，拼接/api/等接口路径进行扫描。这种从APP流量中提取Web资产的方法，有助于发现隐藏的接口和子域，为后续渗透测试提供更多入口。
被动扫描与主动扫描的配合及注意事项
文章建议先开启被动扫描工具（如EZ、Xray），在熟悉APP业务功能的同时让工具被动发现漏洞。需注意在工具配置文件中设置黑名单，过滤非授权目标的第三方请求，并确保Burp上流代理与扫描工具监听IP一致。被动扫描后，可从Burp的HTTP history中提取资产，导入AWVS进行主动爬虫扫描，实现第一轮漏洞筛选。这种组合能提高测试效率，但需严格遵守授权范围。
半手工测试与手工验证的衔接
半手工测试阶段，文章建议从Burp的Target中筛选可疑资产，利用GatherBurp等插件进行DNSLOG检测，或对JSON请求尝试Fastjson盲打。手工测试则对可Web访问的资产进行信息收集，例如通过目录扫描和Wappalyzer识别TinyMCE 4等组件，再结合报错信息验证XSS漏洞。这一过程体现了从自动化工具辅助到人工深入验证的递进，有助于发现工具难以覆盖的漏洞。
Q&A
如何通过Burp抓取APP的数据包？
可以通过配置Burp证书、使用Xpose框架或全局代理来抓取APP的数据包。
Xpose框架在APP渗透测试中有什么作用？
Xpose框架可以绕过SSL证书验证，从而抓取APP流量。
进行APP渗透测试前需要注意哪些法律法规？
必须遵守《中华人民共和国个人信息保护法》和《中华人民共和国网络安全法》，并获得书面授权。
APP转Web渗透测试包括哪些方法？
包括被动扫描、主动扫描和半手工测试。
如何进行被动扫描以发现APP的漏洞？
配置优秀的漏洞扫描工具并开启被动扫描，边熟悉业务功能边进行扫描。
在进行渗透测试时，如何保护个人信息？
在测试前确保获得授权，并遵循相关法律法规以保护个人信息。
