新開(kāi)一個(gè)坑罚缕，主要是記錄自己學(xué)習(xí)移動(dòng)端的一些相關(guān)知識(shí)。從基礎(chǔ)到復(fù)雜吧婆芦，也不知道能寫(xiě)多少怕磨。從最開(kāi)始的環(huán)境開(kāi)始。
移動(dòng)端安全和Web差別并不大消约，也是分為服務(wù)端和客戶(hù)端肠鲫，只不過(guò)客戶(hù)端換成了一個(gè)App，服務(wù)端和Web基本一致或粮。因此挖掘服務(wù)端端漏洞和Web沒(méi)有太大差別导饲。重點(diǎn)在于如何挖掘客戶(hù)端端漏洞，涉及反編譯氯材，代碼審計(jì)渣锦，等等。
如果想要開(kāi)始漏洞挖掘氢哮，最基本的還是要一個(gè)真實(shí)環(huán)境袋毙，一搬有兩種方法，虛擬機(jī)和實(shí)體機(jī)冗尤，之前嘗試過(guò)用虛擬機(jī)安裝但是坑比較多听盖，暫時(shí)放棄了胀溺，因?yàn)槲沂稚嫌幸慌_(tái)Android和iOS設(shè)備，因此暫時(shí)使用實(shí)體機(jī)器進(jìn)行測(cè)試皆看。開(kāi)始主要針對(duì)服務(wù)端仓坞，那么就要涉及抓包，這里講下怎么抓包腰吟。
這里只講一種方法无埃，抓包的方式很多，后面也許會(huì)補(bǔ)充毛雇，我只講自己用到的嫉称。
需要工具：
- 電腦一臺(tái)
- burpsuite
查看下自己電腦的IP，確保手機(jī)和電腦在同一個(gè)網(wǎng)絡(luò)環(huán)境下禾乘。
然后修改手機(jī)的Wi-Fi設(shè)置澎埠，將代理設(shè)置為該IP（以Android和ios為例）：
這樣http的流量就會(huì)經(jīng)過(guò)你的電腦虽缕，接下來(lái)需要配置burpsuite
這樣就可以攔截http流量始藕，但是大部分的流量是https的還需要倒入證書(shū)，使用手機(jī)的瀏覽器訪問(wèn)你的代理ip＋端口氮趋，可以看到burpsutie的界面伍派，點(diǎn)擊CA Certificate證書(shū)，可以把證書(shū)下載剩胁，然后倒入手機(jī)中即可
這樣可以看到流量http和https都經(jīng)過(guò)你的電腦了诉植，就可以像測(cè)試web一樣進(jìn)行抓包測(cè)試了。
以上是最簡(jiǎn)單的抓包配置昵观。從這基本上就可以開(kāi)始進(jìn)行簡(jiǎn)單的測(cè)試晾腔，新世界的大門(mén)就打開(kāi)了。
