說明
- 接著上篇文章app安全測試-逆向工程繼續(xù)學(xué)習(xí)
平臺使用不當(dāng)
-
開發(fā)寫代碼的調(diào)試信息中难礼，經(jīng)辰可能會有一些敏感的信息被打印出來蟀架，比如用
jd-gui查看下如下內(nèi)容：
image.png -
既然是查看日志，也可以采用直接如
IDE+監(jiān)控LogCat的方式
image.png 還有一種方式慧域，其實(shí)就是
adb logcat過濾日志的方式鲤竹，也是可行的
不安全的數(shù)據(jù)存儲
下載diva apk 解壓后把a(bǔ)pk文件安裝到雷電模擬器上
-
用模擬器打開apk
image.png
image.png -
用
jd-gui打開代碼分析，發(fā)現(xiàn)使用了sharepreference存信息到本地
image.png 用
adb進(jìn)入到shell昔榴，找到shared_prefs辛藻，最終使用cat jakhar.aseem.diva_preferences.xml查看到敏感的信息內(nèi)容
adb shell
cd /data/data/jakhar.aseem.diva
osp:/data/data/jakhar.aseem.diva # ls
cache code_cache databases lib shared_prefs
osp:/data/data/jakhar.aseem.diva # cd shared_prefs
aosp:/data/data/jakhar.aseem.diva/shared_prefs # ls
jakhar.aseem.diva_preferences.xml
osp:/data/data/jakhar.aseem.diva # cat jakhar.aseem.diva_preferences.xml
<?xml version='1.0' encoding='utf-8' standalone='yes' ?>
<map>
<string name="user">hello</string>
<string name="password">word</string>
</map>
at jakhar.aseem.diva_preferences.xml <
<?xml version='1.0' encoding='utf-8' standalone='yes' ?>
<map>
<string name="user">hello</string>
<string name="password">word</string>
</map>
