APP资产&知识产权&应用监控&静态提取&动态抓包&动态调试

名称获取App信息（爱企查/小蓝本/七麦/点点）

1. 爱企查&小蓝本知识产权
2. 七麦&点点查名称
   
   

URL网站备案查App

1. 查备案信息
2. 网站上有App下载
3. 市场直接搜单位名称
   
   

App提取信息-静态分析

1. MobSF
2. AppInfoScanner
   两个在线平台
   

APP打开的时候无数据包，但登录有数据包（反编译未找到目标资产，但抓包住到了）

原因：那个登录界面是APP本地打包的资源，并没有对外发送数据

其他地址：

摸瓜

南明离火

Windows - MobSF安装参考：

可以使用f8x工具一键搭建环境

Mobsf–windows10部署

MobSF环境搭建

APP提取信息-动态抓包

前期部分抓包技术

APP提取信息-动态调试

MobSF+模拟器

通过获取App配置、数据包，去获取URL、API、OSSKey、JS等敏感信息

1. 资产信息 - IP域名 网站 - 转到对应Web测试 接口测试 服务测试
2. 泄露信息 - 配置Key 资源文件 - Key（OSSKey利用，邮件配置等）
3. 代码信息 - Java代码安全问题 - 逆向相关

App中收集资产

1. 抓包-动态表现
2. 提取-静态表现&动态调试
3. 搜索-静态表现
   
   

抓包抓表现出来的数据

优点：没有误报

缺点：需要操作，有些操作无法点到，所以无法做到完整

反编译从源码中提取数据

优点：数据较为完整

缺点：有很多无用的资产信息

动态调试从表现中提取数据

优点：没有误报，解决不能抓包不能代理等情况

优点：搞逆向的人能看到实时的app调用链等

缺点：无法做到完整