当前位置： 首页 > news >正文

Burp Suite模拟器抓包全攻略

news 2025/10/6 6:51:07

Burp Suite抓包模拟器APP+微信小程序详细教程

1.首先导出burp的CA证书

在这里插入图片描述

导出CA证书

在这里插入图片描述

选择Certificate in DER format格式

在这里插入图片描述

然后保存到桌面

2.然后打开kali虚拟机，用虚拟机.0结尾的文件

在这里插入图片描述

导入1.der进kali里面

openssl x509 -inform DER -in 1.der -out bp.pem
openssl x509 -inform PEM -subject_hash_old -in bp.pem | head -1
cat bp.pem > 9a5ba575.0

然后依次执行上面三个命令

在这里插入图片描述

这样就生成了9a5ba575.0的文件，然后传回物理机

3.模拟器配置

打开模拟器，我这里用的是逍遥模拟器，雷电和夜神我也用过，感觉还是逍遥更好用，自己想用什么模拟器网上也有相应教程

在这里插入图片描述

在这里插入图片描述

在设置中打开Root模式和独立系统盘，然后重启模拟器

在这里插入图片描述

进入设置连续点击版本号进入开发者模式

在这里插入图片描述

进入开发者选项打开USB调试

在这里插入图片描述

回到桌面进入模拟器的文件夹里

在这里插入图片描述

导入9a5ba575.0文件

adb.exe connect 127.0.0.1:21503
adb root
adb remount
adb push 9a5ba575.0 /system/etc/security/cacerts/

然后在文件夹里打开cmd命令，执行上面四个命令

在这里插入图片描述

在这里插入图片描述

在模拟器的设置中找到信任的凭据，找到证书

4.设置代理

在这里插入图片描述

回到burp设置代理

在这里插入图片描述

打开模拟器设置代理

在这里插入图片描述

在这里插入图片描述

就可以看到抓到模拟器的包了，相要抓到APP和模拟器的包下载微信和APP直接打开就行

下面进行原理的深度解析：

深度解析：基于 Burp Suite 的模拟器 APP 与微信小程序漏洞挖掘实战指南

在移动应用与小程序安全测试领域，流量拦截与分析是漏洞挖掘的核心环节。Burp Suite 作为 Web 安全测试的瑞士军刀，其在移动端渗透测试中的应用同样不可或缺。本文将从原理到实战，系统讲解如何通过 Burp Suite 结合模拟器实现 APP 与微信小程序的流量捕获，并基于此开展深度漏洞挖掘，帮助安全从业者构建完整的移动端测试方法论。

一、底层原理：为什么需要证书与代理配置？

移动端应用（尤其是 HTTPS 加密传输的应用）的流量拦截本质上是 “中间人攻击（MITM）” 的合法应用。当客户端与服务器建立 HTTPS 连接时，Burp Suite 作为中间人需要完成两步关键操作：

  1. 向客户端出示由 Burp CA 签发的伪造证书
  2. 以客户端身份与真实服务器建立合法连接

这一过程的前提是客户端必须信任 Burp CA 证书，否则会触发证书校验错误导致连接失败。对于 Android 模拟器而言，系统将证书分为 “用户信任” 和 “系统信任” 两类：

  • 用户信任证书：通过系统设置手动安装，适用于大多数普通应用
  • 系统信任证书：位于/system/etc/security/cacerts/目录，适用于对证书安全性要求较高的应用（如金融类 APP、微信小程序等）

微信小程序的 HTTPS 请求通常强制校验系统级信任证书，因此必须将 Burp CA 导入系统信任区，这也是后续证书转换与推送步骤的核心原因。

二、环境准备与证书配置：从 Burp 到模拟器的全流程

2.1 Burp CA 证书导出与格式转换

Burp Suite 默认内置自签名 CA 证书，第一步需将其导出为 Android 系统可识别的格式：

  1. 启动 Burp Suite，通过Proxy -> Options -> Import/export CA certificate导出 DER 格式证书（扩展名为.der）

    在这里插入图片描述

  2. 证书格式转换（关键步骤）：

    Android 系统要求系统信任证书必须满足：

    • 采用 PEM 格式编码
    • 文件名为证书主题哈希值（_old 算法）+.0

    通过 OpenSSL 工具完成转换：

    # 将DER格式转换为PEM格式
openssl x509 -inform DER -in 1.der -out bp.pem
# 计算主题哈希值（Android系统依赖的旧算法）
openssl x509 -inform PEM -subject_hash_old -in bp.pem | head -1
# 生成系统信任证书文件（假设哈希值为9a5ba575）
cat bp.pem > 9a5ba575.0

    这里的哈希值计算是核心，Android 系统通过文件名哈希快速定位证书，若命名错误会导致证书无法被识别。

2.2 模拟器环境配置与证书推送

选择逍遥模拟器（推荐原因：Root 权限稳定、网络配置兼容性好），完成以下配置：

  1. 开启系统级权限：

    • 进入模拟器设置，开启Root模式与独立系统盘（确保系统分区可写入）
    • 连续点击版本号进入开发者模式，开启USB调试（允许 adb 连接）

    在这里插入图片描述

  2. 通过 adb 推送证书至系统信任区：

    # 连接模拟器（逍遥模拟器默认端口21503）
adb.exe connect 127.0.0.1:21503
# 获取Root权限
adb root
# 重新挂载系统分区为可写
adb remount
# 推送证书至系统信任目录
adb push 9a5ba575.0 /system/etc/security/cacerts/

    验证：进入模拟器设置 -> 安全 -> 信任的凭据 -> 系统，确认 Burp CA 已存在。

2.3 代理配置：打通 Burp 与模拟器的流量通道

  1. Burp Suite 代理设置：

    在Proxy -> Options中配置代理监听地址为0.0.0.0:8080（允许外部设备连接），确保防火墙放行该端口。

    在这里插入图片描述

  2. 模拟器网络代理设置：

    • 进入 WiFi 设置，长按当前连接的网络，选择 “修改网络”
    • 手动设置代理为 Burp 所在主机的 IP（如物理机局域网 IP 192.168.1.69），端口8080`

在这里插入图片描述

此时，模拟器中所有 HTTP/HTTPS 流量将通过 Burp Suite 转发，可在Proxy -> Intercept中实时查看与修改。

三、漏洞挖掘实战：从流量分析到漏洞验证

抓包只是起点，真正的漏洞挖掘需要结合业务逻辑与安全测试方法论。以下是基于捕获流量的典型漏洞挖掘场景：

3.1 敏感信息泄露检测

APP 与小程序的请求 / 响应中常包含未脱敏的敏感数据，例如：

  • 用户身份证号、手机号（明文传输或弱加密）
  • 认证 Token、SessionID（未通过 HTTPS 传输）
  • 后台接口路径、参数结构（暴露系统架构）

测试方法：

在 Burp 的Proxy History中筛选包含敏感关键字的流量（如phone、idcard、token），检查：

  • 是否采用 HTTPS 传输（查看请求协议）
  • 敏感字段是否加密（对比明文特征）
  • 响应中是否包含过多用户信息（如用户列表、权限数据）

3.2 权限绕过与越权测试

移动应用常因服务端未严格校验用户权限导致越权漏洞，典型场景：

  • 修改请求中的用户 ID（user_id）访问他人数据
  • 替换角色标识（role）提升权限
  • 跳过支付流程中的金额校验（amount=0）

测试方法：

  1. 拦截关键操作请求（如查看订单、修改个人信息）
  2. 在 Burp 的Repeater中修改用户标识参数（如将user_id=123改为user_id=124）
  3. 发送修改后的请求，观察响应是否返回非授权数据

案例：某电商 APP 在 “我的订单” 接口中未校验user_id，通过修改该参数可查看任意用户的订单详情。

3.3 输入验证与注入漏洞

移动端接口同样可能存在 SQL 注入、XSS 等注入类漏洞，尤其是：

  • 搜索功能（keyword参数）
  • 数据筛选接口（filter、sort参数）
  • 用户自定义内容提交（评论、昵称）

测试方法：

  1. 拦截含用户输入的请求，在Intruder中批量注入测试 payload（如 SQL 注入的' or 1=1#）
  2. 观察响应差异（如报错信息、返回数据量变化）
  3. 对疑似漏洞用Repeater精细化验证

注意：小程序的前端输入限制可被轻易绕过（直接修改请求参数），需重点测试。

3.4 业务逻辑漏洞挖掘

移动应用的业务逻辑漏洞往往更隐蔽，需结合完整业务流程分析：

  • 登录 / 注册：验证码绕过、账号枚举、密码重置逻辑缺陷
  • 交易流程：订单状态篡改、优惠券叠加滥用
  • 数据同步：本地缓存与服务器数据不一致导致的逻辑绕过

测试方法：

  1. 录制完整业务流程的流量（如 “下单 - 支付 - 确认收货”）
  2. 在 Burp 中按顺序重放并修改关键步骤参数（如将支付状态status=unpaid改为status=paid）
  3. 验证是否跳过关键业务环节

四、进阶技巧与避坑指南

  1. 证书 Pinning 绕过：

    部分 APP 采用证书固定（Certificate Pinning）技术，仅信任特定证书。此时需：

    • 使用 Xposed 框架 + JustTrustMe 模块禁用证书校验
    • 对 APP 进行逆向，修改证书校验逻辑后重打包

  2. 多端协同测试：

    微信小程序的流量可能同时经过微信客户端与小程序本身，建议：

    • 同时监控模拟器中微信与目标小程序的流量
    • 对比不同版本小程序的接口差异（可能存在历史漏洞）

  3. 流量过滤与分析：

    在 Burp 中通过Target -> Scope设置目标域名，过滤无关流量；使用Search功能批量查找敏感关键字或漏洞特征。

  4. 自动化测试整合：

    将 Burp 与漏洞扫描器（如 SQLMap）结合，通过Copy to file导出请求包，作为扫描器的输入：

    sqlmap -r request.txt --batch --level 3

五、总结

基于 Burp Suite 的模拟器抓包技术是移动端漏洞挖掘的基础，但其核心价值在于将流量分析与业务逻辑深度结合。从证书配置到漏洞验证，每一步都需要理解底层原理（如 Android 证书信任机制）与实际业务场景的关联。

对于安全从业者而言，需不断积累：

  • 移动应用通信协议知识（HTTPS、WebSocket 等）
  • 常见漏洞的特征识别能力（如越权响应的 JSON 结构）
  • 逆向与动态调试技巧（应对证书 Pinning 等防护措施）

通过本文的方法论，可构建从环境搭建到漏洞挖掘的完整闭环，为 APP 与微信小程序的安全测试提供系统化指导。

http://www.dtcms.com/a/445901.html

相关文章：

  • 佛山营销型网站定制绿色企业网站源码
  • Qt 5.14.2+Mysql5.7 64位开发环境下无法连接数据库
  • 【Python】
  • [特殊字符]ui设计公司灵感备忘录 | 网格布局 UI 收集
  • Base UI：一款极简主义的「无样式」组件库
  • MySQL 运维知识点（十六）---- 读写分离
  • 网站建设生存期模型希音电商网站
  • 济南网站建设培训班永久免费网站建设
  • 高层次综合报告分析-vivado hls第四章
  • Go语言中的Zap日志库
  • Linux网络编程——UdpServer
  • Daily算法刷题【面试经典150题-3️⃣】
  • MybatisPlus和pagehelper分页冲突—关于jsqlparser、pagehelper、MybatisPlus三者的版本兼容问题
  • R 数组：深入解析与高效使用
  • 缩点学习笔记
  • Go基础：用Go语言操作MongoDB详解
  • 第六章：适配器模式 - 接口转换的艺术大师
  • ARM环境日志系统的简单设计思路
  • 网站名称推荐大气聚财的公司名字
  • 【JVM】——实战篇
  • 那里有正规网站开发培训学校个人网站是怎么样的
  • 高端网站设计简介推荐外贸网站建设的公司
  • asp.net 网站安装工商核名在哪个网站
  • 基于websocket的多用户网页五子棋(五)
  • 【图像处理基石】什么是全景视觉？
  • 【Linux】线程同步和生产者消费者模型
  • 《嵌入式驱动（三）：字符设备驱动开发》
  • 做的网站提示磁盘空间不足投票活动网站怎么做
  • 项目1:FFMPEG推流器讲解(二)：FFMPEG输出模块初始化
  • 中级前端进阶方向 框架篇 三十四) 前端自动化测试 + 【步骤落地 + 了解】