該如何滲透檢測(cè)APP存在的安全漏洞

（文章來(lái)源：網(wǎng)站安全服務(wù)器安全）

IOS端的APP滲透測(cè)試在整個(gè)互聯(lián)網(wǎng)上相關(guān)的安全文章較少，前幾天有位客戶的APP數(shù)據(jù)被篡改，導(dǎo)致用戶被隨意提現(xiàn)，任意的提幣，轉(zhuǎn)幣給平臺(tái)的運(yùn)營(yíng)造成了很大的經(jīng)濟(jì)損失，通過(guò)朋友介紹找到我們SINE安全公司尋求安全解決方案，防止APP繼續(xù)被篡改與攻擊，針對(duì)客戶的這一情況我們立即成立安全應(yīng)急響應(yīng)小組，對(duì)客戶的APP以及服務(wù)器進(jìn)行了全面的安全滲透。

首先要了解客戶的IOS APP應(yīng)用使用的是什么架構(gòu)，經(jīng)過(guò)我們安全工程師的詳細(xì)檢查與代碼的分析，采用的是網(wǎng)站語(yǔ)言開(kāi)發(fā)，PHP+mysql數(shù)據(jù)庫(kù)+VUE組合開(kāi)發(fā)的，服務(wù)器系統(tǒng)是Linux centos版本。

我們搭建起滲透測(cè)試的環(huán)境，下載的客戶的最新APP應(yīng)用到手機(jī)當(dāng)中，并開(kāi)啟了8098端口為代理端口，對(duì)APP的數(shù)據(jù)進(jìn)行了抓包與截取，打開(kāi)APP后竟然閃退了，通過(guò)抓包獲取到客戶的APP使用了代理檢測(cè)機(jī)制，當(dāng)手機(jī)使用代理進(jìn)行訪問(wèn)的時(shí)候就會(huì)自動(dòng)判斷是否是使用的代理，如果是就返回錯(cuò)誤值，并強(qiáng)制APP退出，斷掉一切與APP的網(wǎng)絡(luò)連接。那么對(duì)于我們SINE安全技術(shù)來(lái)說(shuō)，這都是很簡(jiǎn)單的就可以繞過(guò)，通過(guò)反編譯IPA包，代碼分析追蹤到APP代理檢測(cè)的源代碼，有一段代碼是單獨(dú)設(shè)置的，當(dāng)值判斷為1就可以直接繞過(guò)，我們直接HOOK該代碼，繞過(guò)了代理檢測(cè)機(jī)制。

接下來(lái)我們SINE安全工程師對(duì)客戶APP的正常功能比如：用戶注冊(cè)，用戶密碼找回，登錄，以及用戶留言，用戶頭像上傳，充幣提幣，二次密碼等功能進(jìn)行了全面的滲透測(cè)試服務(wù)，在用戶留言這里發(fā)現(xiàn)可以寫(xiě)入惡意的XSS跨站代碼到后端中去，當(dāng)用戶在APP端提交留言數(shù)據(jù)POST到后臺(tái)數(shù)據(jù)，當(dāng)后臺(tái)管理員查看用戶留言的時(shí)候，就會(huì)截取APP管理員的cookies值以及后臺(tái)登錄地址。

攻擊者利用該XSS漏洞獲取到了后臺(tái)的管理員權(quán)限，之前發(fā)生的會(huì)員數(shù)據(jù)被篡改等安全問(wèn)題都是由這個(gè)漏洞導(dǎo)致的，客戶說(shuō)后臺(tái)并沒(méi)有記錄到修改會(huì)員的一些操作日志，正常如果管理員在后臺(tái)對(duì)會(huì)員進(jìn)行操作設(shè)置的時(shí)候，都會(huì)有操作日志記錄到后臺(tái)中去。

通過(guò)客戶的這些反饋，我們繼續(xù)對(duì)APP進(jìn)行滲透測(cè)試，果然不出我們SINE安全所料，后臺(tái)里有上傳圖片功能，我們POST截取數(shù)據(jù)包，對(duì)上傳的文件類(lèi)型進(jìn)行修改為PHP后綴名，直接POST數(shù)據(jù)過(guò)去，直接繞過(guò)代碼檢測(cè)上傳了PHP腳本文件到后臺(tái)的圖片目錄。

我們對(duì)上傳的網(wǎng)站木馬后門(mén)也叫webshell,客戶網(wǎng)站后臺(tái)存在文件上傳漏洞，可以上傳任意格式的文件，我們又登錄客戶的服務(wù)器對(duì)nginx的日志進(jìn)行分析處理，發(fā)現(xiàn)了攻擊者的痕跡，在12月20號(hào)晚上，XSS漏洞獲取后臺(tái)權(quán)限并通過(guò)文件上傳漏洞上傳了webshell，利用webshell獲取到了APP的數(shù)據(jù)庫(kù)配置文件，通過(guò)webshell內(nèi)置的mysql連接功能，直接對(duì)會(huì)員數(shù)據(jù)進(jìn)行了修改，至此客戶會(huì)員數(shù)據(jù)被篡改的問(wèn)題得以圓滿地解決，我們又對(duì)其他功能進(jìn)行滲透測(cè)試發(fā)現(xiàn)，用戶密碼找回功能存在邏輯漏洞，可以繞過(guò)驗(yàn)證碼直接修改任意會(huì)員賬號(hào)的密碼。

這次APP滲透測(cè)試總共發(fā)現(xiàn)三個(gè)漏洞，XSS跨站漏洞，文件上傳漏洞，用戶密碼找回邏輯漏洞，這些漏洞在我們安全界來(lái)說(shuō)屬于高危漏洞，可以對(duì)APP，網(wǎng)站，服務(wù)器造成重大的影響，不可忽視，APP安全了，帶來(lái)的也是用戶的數(shù)據(jù)安全，只有用戶安全了，才能帶來(lái)利益上的共贏。
? ? ?