APP测试反编译工具使用

APP测试

首先我们需要使用一个安卓模拟器，这里我们使用的是夜神模拟器。（Android5）
代理配置

打开burp->Proxy->Options->Add设置IP号（主机）和端口号（8080）
打开设置->WLAN->WiredSSID，长按设置IP号（主机）和端口号（8080）

为了保证抓取https的数据，需要下载burp的证书

打开夜神中的浏览器输入http://burp/ 点击右上角下载
下载完成后从Amaze文件管理中找到download打开，修改证书格式为.cer
安装证书，设置->安全->从sd卡安装，选择改好名字的证书，设置密码。（123456a）
打开浏览器输入www.baidu.com测试

模拟器抓包三件套
xposedinstaller.apk直接拖到夜神模拟器中。
sslKiller.apk和JustTrustMe.apk 拖到 xposedinstaller.apk左上角模块中，勾选，并重启夜神模拟器。

反编译工具使用

“反编译Apk”,看上去好像很高端，其实不然，就是通过某些反编译软件，对我们的APK进行反编译，从而获取程序的源代码，图片，XML资源等文件。
简单点的，我们可以下载别人的APK，然后改下后缀名，改成xxx.zip，然后解压：
但是这种方法，获得的只会是一些。png,或者.jpg这样的位图文件资源，如果是xml类的资源，打开我们会发现是乱码，并且假如我们想看APK程序的java代码，也是行不通的，因为他们都打被打包到classes.dex文件中！但是反编译可以解决你的需要，另外，切勿拿反编译来做违法的事，比如把人家的APK重新打包后使用自己的签名然后发布到相关市场，切记！

说到反编译，这里就要用到三个相关工具。
apktool:获取资源文件，提取图片文件，布局文件，还有一些XML的资源文件
dex2jar：将APK反编译成java源码（将classes.dex转化为jar文件）
jd-gui：查看2中转换后的Jar文件，即查看java文件
三个工具的使用
第一步：

找一个安卓应用（后缀名为apk）下载到桌面。
apktool文件下打开cmd输入命令：apktool.bat d C:/Users/xiangyu/Desktop/hcrssyx.apk（位置+文件名）。
apktool文件中会有一个hcrssyx文件夹。

第二步：

应用hcrssyx.apk的后缀名改为zip并且解压。
将解压好的文件中的classes.dex复制粘贴到dex2jar文件中。
再打开dex2jar的cmd，输入d2j-dex2jar.bat classes.dex。会有一个classes-dex2jar.jar文件被写入。
打开jd-gui中的jd-gui.exe，open file->classes-dex2jar.jar。(或直接拖进去)

第三步：

jadx-gui文件中打开lib文件夹，找到jadx-gui-1.2.0.jar并打开。
再打开hcrssyx.apk。

挖掘技巧

登录页面
弱口令
用户枚举
逻辑越权
SQL注入/万能密码
XSS盲打
密码重置
验证码相关漏洞
任意用户注册
用户页面
用户枚举
逻辑越权
SQL注入/万能密码
XSS盲打
CSRF
支付漏洞
未授权访问
文件上传