Pre:
对安卓的app漏洞不太熟悉,所以看看一些漏洞类型，做些笔记
案例:
客户端:
设计缺陷/逻辑错误:
-
金山词霸安卓app越权问题（signature算法太弱轻松破解）
登录后每一个数据包都带signature字段，没有cookie和session认证，那么破解signature后就能自己组包生成signature了，以达到越权的目的。
前段时间也遇到过,app对每个数据包做签名,导致无法进行篡改.
-
由于组件暴露问题，第三方应用可以启动应用这2个应该是看manifest文件
TODOTODO
非授权访问/认证绕过:
-
91金融安卓APP客户端升级过程存在缺陷可被中间人攻击利用植入木马
拦截回包,修改更新包的地址升级过程存在缺陷，，校验过程不严格，可被中间人攻击利用植入木马
远程代码执行
-
[]
TODOTODO