IOS端的App滲透測(cè)試在整個(gè)互聯(lián)網(wǎng)上相關(guān)的安全文章較少，前幾天有位客戶的APP數(shù)據(jù)被篡改，導(dǎo)致用戶被隨意提現(xiàn)，任意的提幣，轉(zhuǎn)幣給平臺(tái)的運(yùn)營造成了很大的經(jīng)濟(jì)損失，通過朋友介紹找到我們尋求安全解決方案，防止APP繼續(xù)被篡改與攻擊，針對(duì)客戶的這一情況我們立即成立安全應(yīng)急響應(yīng)小組，對(duì)客戶的APP以及服務(wù)器進(jìn)行了全面的安全滲透。
首先要了解客戶的IOS APP應(yīng)用使用的是什么架構(gòu)，經(jīng)過我們安全工程師的詳細(xì)檢查與代碼的分析，采用的是網(wǎng)站語言開發(fā)，php+MySQL數(shù)據(jù)庫+VUE組合開發(fā)的，服務(wù)器系統(tǒng)是linux centos版本。
我們搭建起滲透測(cè)試的環(huán)境，下載的客戶的最新APP應(yīng)用到手機(jī)當(dāng)中，并開啟了8098端口為代理端口，對(duì)APP的數(shù)據(jù)進(jìn)行了抓包與截取，打開APP后竟然閃退了，通過抓包獲取到客戶的APP使用了代理檢測(cè)機(jī)制，當(dāng)手機(jī)使用代理進(jìn)行訪問的時(shí)候就會(huì)自動(dòng)判斷是否是使用的代理，如果是就返回錯(cuò)誤值，并強(qiáng)制APP退出，斷掉一切與APP的網(wǎng)絡(luò)連接。那么對(duì)于我們技術(shù)來說，這都是很簡(jiǎn)單的就可以繞過，通過反編譯IPA包，代碼分析追蹤到APP代理檢測(cè)的源代碼，有一段代碼是單獨(dú)設(shè)置的，當(dāng)值判斷為1就可以直接繞過，我們直接HOOK該代碼，繞過了代理檢測(cè)機(jī)制。
接下來我們安全工程師對(duì)客戶APP的正常功能比如：用戶注冊(cè)，用戶密碼找回，登錄，以及用戶留言，用戶頭像上傳，充幣提幣，二次密碼等功能進(jìn)行了全面的滲透測(cè)試服務(wù)，在用戶留言這里發(fā)現(xiàn)可以寫入惡意的XSS跨站代碼到后端中去，當(dāng)用戶在APP端提交留言數(shù)據(jù)POST到后臺(tái)數(shù)據(jù)，當(dāng)后臺(tái)管理員查看用戶留言的時(shí)候，就會(huì)截取APP管理員的cookies值以及后臺(tái)登錄地址，攻擊者利用該XSS漏洞獲取到了后臺(tái)的管理員權(quán)限，之前發(fā)生的會(huì)員數(shù)據(jù)被篡改等安全問題都是由這個(gè)漏洞導(dǎo)致的，客戶說后臺(tái)并沒有記錄到修改會(huì)員的一些操作日志，正常如果管理員在后臺(tái)對(duì)會(huì)員進(jìn)行操作設(shè)置的時(shí)候，都會(huì)有操作日志記錄到后臺(tái)中去，通過客戶的這些反饋，我們繼續(xù)對(duì)APP進(jìn)行滲透測(cè)試，果然不出我們料，后臺(tái)里有上傳圖片功能，我們POST截取數(shù)據(jù)包，對(duì)上傳的文件類型進(jìn)行修改為PHP后綴名，直接POST數(shù)據(jù)過去，直接繞過代碼檢測(cè)上傳了PHP腳本文件到后臺(tái)的圖片目錄。
我們對(duì)上傳的網(wǎng)站木馬后門也叫webshell,客戶網(wǎng)站后臺(tái)存在文件上傳漏洞，可以上傳任意格式的文件，我們又登錄客戶的服務(wù)器對(duì)Nginx的日志進(jìn)行分析處理，發(fā)現(xiàn)了攻擊者的痕跡，在12月20號(hào)晚上，XSS漏洞獲取后臺(tái)權(quán)限并通過文件上傳漏洞上傳了webshell，利用webshell獲取到了APP的數(shù)據(jù)庫配置文件，通過webshell內(nèi)置的mysql連接功能，直接對(duì)會(huì)員數(shù)據(jù)進(jìn)行了修改，至此客戶會(huì)員數(shù)據(jù)被篡改的問題得以圓滿的解決，我們又對(duì)其他功能進(jìn)行滲透測(cè)試發(fā)現(xiàn)，用戶密碼找回功能存在邏輯漏洞，可以繞過驗(yàn)證碼直接修改任意會(huì)員賬號(hào)的密碼。
這次APP滲透測(cè)試總共發(fā)現(xiàn)三個(gè)漏洞，XSS跨站漏洞，文件上傳漏洞，用戶密碼找回邏輯漏洞，這些漏洞在我們安全界來說屬于高危漏洞，可以對(duì)APP，網(wǎng)站，服務(wù)器造成重大的影響，不可忽視，APP安全了，帶來的也是用戶的數(shù)據(jù)安全，只有用戶安全了，才能帶來利益上的共贏。如果您對(duì)滲透測(cè)試不懂的話，也可以找專業(yè)的網(wǎng)站安全公司，以及滲透測(cè)試公司來幫您檢測(cè)一下。
