记一次意外的APP渗透

原创

flowersboy
flowersboy

hutututu

2026年8月13日 14:13
陕西

在小说阅读器读本章

去阅读

目标站点存在API接口未授权访问，泄露的是各类版本号

image-20260813135258455

成果太少了呀，不行，看其他端口，发现另一个登录框

页面多了个下载APP链接，扫描获取下载链接，没有加壳加密，jadx直接开，一般这种没啥加密加壳防护措施的，代码逻辑写的也不太严谨，出货概率大

image-20260813140336622

strings转换字符串查看，发现大量API路径，美美测一波

image-20260813140404803

开雷神bp、抓一波构造，UserList可返回所有账户及md5口令、强口令

image-20260813140532061

不能就此结束呀，继续翻源码，发现登录传参时将IsMD5password=1带入，passwd写入原始md5值、就可以不输入明文进行登录

美美接管所有账户下的信息

image-20260813140646553