移动端安全修炼（一）

新开一个坑，主要是记录自己学习移动端的一些相关知识。从基础到复杂吧，也不知道能写多少。从最开始的环境开始。

移动端安全和Web差别并不大，也是分为服务端和客户端，只不过客户端换成了一个App，服务端和Web基本一致。因此挖掘服务端端漏洞和Web没有太大差别。重点在于如何挖掘客户端端漏洞，涉及反编译，代码审计，等等。

如果想要开始漏洞挖掘，最基本的还是要一个真实环境，一搬有两种方法，虚拟机和实体机，之前尝试过用虚拟机安装但是坑比较多，暂时放弃了，因为我手上有一台Android和iOS设备，因此暂时使用实体机器进行测试。开始主要针对服务端，那么就要涉及抓包，这里讲下怎么抓包。

这里只讲一种方法，抓包的方式很多，后面也许会补充，我只讲自己用到的。

需要工具：

1. 电脑一台
2. burpsuite

查看下自己电脑的IP，确保手机和电脑在同一个网络环境下。

image

然后修改手机的Wi-Fi设置，将代理设置为该IP（以Android和ios为例）：

image

这样http的流量就会经过你的电脑，接下来需要配置burpsuite

image

这样就可以拦截http流量，但是大部分的流量是https的还需要倒入证书，使用手机的浏览器访问你的代理ip＋端口，可以看到burpsutie的界面，点击CA Certificate证书，可以把证书下载，然后倒入手机中即可

image

这样可以看到流量http和https都经过你的电脑了，就可以像测试web一样进行抓包测试了。

以上是最简单的抓包配置。从这基本上就可以开始进行简单的测试，新世界的大门就打开了。