作为一个对各种黑科技充满好奇心的前端工程师,这一次盯上了现在的外卖大佬-饿了么.这篇文章记录了抓包饿了么过程中碰到的问题,以及解决方案,希望能够大家带来一点收获. 工具 夜神模拟器 + charles charles 是一款 pc 端的抓包工具,可以用于拦截客户端发起的请求,修改请求内容,伪造响应等,具体可自行阅读官网文档:https://www.charlesproxy.com/ 配置 charles 打开 charles,配置 proxy -> ssl proxy settings, 勾选…

一:SSL Ping Mode 使用SSL来进行网络通信成为了很多mobile app的默认选择.最近一些文章发现:一些app并没有采用“额外的措施”来保证窃听不可以发生:这个“额外的步骤“就是SSL Pinning. iOS上SSL连接默认是这样的,client 和server建立一个连接,server返回其 SSL证书.如果这个证书是被OS信任的证书机构签发,那么这个连接就正常进行下去.随后交换session key进行通信.这个关键点就在于“信任“.如果攻击者进行中间人攻击,mobile…

文章分A,B,C,D 4个部分. A) iOS Application Security 下面介绍iOS应用安全,如何分析和动态修改app. 1)iOS Application security Part 1 – Setting up a mobile pentesting platform Part1介绍如何在越狱的设备上搭建用来测试iOS安全的环境. 2)iOS Application security Part 2 – Getting class information of IOS ap…

Python爬虫工程师必学——App数据抓取实战 (一个人学习或许会很枯燥,但是寻找更多志同道合的朋友一起,学习将会变得更加有意义✌✌) 爬虫分为几大方向,WEB网页数据抓取.APP数据抓取.软件系统数据抓取 如何用python实现App数据抓取,从开发环境搭建,App爬虫必备利器详解,项目实战,到最后的多App端数据抓取项目集成,让你掌握App数据抓取的技能,向更优秀的python爬虫工程师迈进! 第1章 课程介绍 介绍课程目标.通过课程能学习到的内容.学会这些技能能做什么,对公司业务有哪些帮…

信息收集 1.厂商域名   2.厂商ip段   3.厂商业务信息 域名收集 1.基于SSL证书查询   2.第三方网站接口查询   3.Github   4.DNS解析记录   5.子域名枚举等 基于SSLL证书查询 1.censys.io   2.crt.sh 第三方接口查询网站 1.riskiq   2.shodan   3.findsubdomains   4.censysy.io   5.dnsdb.io IP段收集 ipwhois.cnnic.net.cn 端口扫描(python+ma…

0x00 前面 如果你是一干Web安全的,当你在测试目前大多数的手机APP应用程序时,你一定遇到过burpsuite无法抓到数据包的情况,开始你以为只是https的问题,但是当你使用了burpsuite伪证书也无法抓取到时,你心里除了有句“MMP……”外,你一定也在思考这其中的蹊跷. 为什么https的网站使用伪证书可以抓到,而在app里面同样的方法就抓不到?答案是:app启用了SSL Pinning(又叫“ssl证书绑定“). HTTPS的原理你必然懂,在建立ssl通道的过程中,当客户端向服务…

转载:https://www.jianshu.com/p/310d930dd62f 1 前言 这篇文章主要想解决的问题是,在对安卓手机APP抓包时,出现的HTTPS报文通过MITM代理后证书不被信任的问题.(工作中在抓取12306请求时就遇到了这个问题) 之前的推送讲过,通常要抓取HTTPS加密的数据包,一般使用Charles或者Fiddler4代理HTTP请求,配置证书信任后,便可拿到明文报文.但是由于Charles证书和Fiddler证书并非证书机构颁发的目标站点的合法证书,所以会不被信任.…

BAT线下战争:巨额投资或培养出自己最大对手 2015年10月12日09:49   <财经>杂志    我有话说(18人参与) 收藏本文        BAT大举投资线下公司,看似咄咄逼人,实则是防御而非进攻.它们既无法掌控诸多创业公司,更无法统领盘根错节的传统线下企业 □本刊记者 宋玮 吕倩/文 中国互联网行业三巨头“BAT”,正在遭遇不同程度的挑战与危机. 过去十个月内,阿里巴巴市值跌掉1407亿美元.2015年8月24日,阿里巴巴首度跌破发行价,10月7日美股收盘,其股价已从最高峰时的1…

近年来Google.Apple.百度等公司不断推动 HTTPS 的普及,SSL 证书作为 HTTPS 安全协议的必备配置,自然也成为了网站.App 开发者最重要部署项目之一. 又拍云于 2016 年联合国际顶级 CA 机构,提供 Symantec.GeoTrust.TrustAsia.Let's Encrypt 等品牌的免费 DV SSL 证书和付费 DV.OV.EV SSL 证书. 加密信息,提高可信度 各大网站之所以选择 SSL 是因为它对网络发送的敏感信息进行加密,只有目标接收方才能对信息…

突破技术管理,IT人中年危机变契机 中生代技术 Yesterday 作为一个老技术人,今天不聊技术,就聊点技术人员职业发展的事情:对技术管理岗位的认知,比如技术总监. 先贴一张技术人员职业发展路线图,按照管理路线和技术路线区分.在国外管理路线和技术路线的职位会按照 IT Manager 和 TechLead 去区分. 但在国内其实是没有纯粹的管理路线,管理岗位中一定有具体技术工作的要求.今天我说说对“技术总监”岗位职能要求的理解. 我理解技术总监的权责范畴应该包括: 技术性工作 管理性工作,分为…