第三章：数据窃听与中间人攻击 —— 深入网络通信
1. 看不见的“电线”
在前两章，我们关注的是App本身（代码逻辑、内存数据）。但在真实世界中，App很少是孤岛。它需要和服务器“对话”来获取数据。
渗透测试员的思维：
如果我能站在App和服务器中间，偷听它们的对话（Sniffing），甚至篡改对话内容（Tampering），我就能发现更多漏洞。
核心概念：中间人攻击（MITM）
想象一下，App（小明）要给服务器（小红）寄一封加密信（HTTPS）。正常情况下，只有小红有钥匙。但在MITM攻击中，攻击者（你）拦截了信件，告诉小明“我是小红”，同时告诉小红“我是小明”。这样，所有的加密内容都会经过你的手解密。
2. 基础准备：搭建“窃听室”
要进行窃听，我们需要将手机的网络流量“引流”到我们的电脑上。
2.1 工具组合
Burp Suite：渗透测试界的“瑞士军刀”，用于拦截和修改HTTP/HTTPS流量。
手机代理设置：将手机的WiFi代理设置为电脑的IP地址（通常是8080端口）。
2.2 安装证书（关键步骤）
HTTPS之所以安全，是因为App只信任权威机构（CA）颁发的证书。为了解密流量，我们需要让手机信任我们的窃听工具（Burp）。
在手机浏览器访问
http://burp，下载Burp证书。将证书重命名为
.crt格式。在安卓设置中安装该证书（用户证书）。
现状：
在 Android 7（Nougat）之前，这招很管用。但在 Android 7+，系统不再信任用户安装的证书。这就引出了我们在第二章用 Frida 解决的问题：SSL Pinning（证书锁定）。
3. 实战一：越权漏洞（IDOR）挖掘
这是API渗透中最常见、奖金最高的漏洞之一。
场景：
某社交App，用户A的ID是1001，用户B的ID是1002。
App 请求服务器获取用户资料时，发送的API请求如下：
GET /api/user/profile?user_id=1001 HTTP/1.1 Host: api.target.com Cookie: session=abc1233.1 发现漏洞
使用 Burp Suite 拦截这个请求。
将
user_id=1001修改为user_id=1002。点击“发送”。
结果：
服务器返回了用户B的完整资料（手机号、邮箱、私密照片）。
漏洞原理：服务器只验证了你登录了（Cookie有效），但没有验证“你登录的用户ID”是否等于“你请求查看的用户ID”。
3.2 自动化扫描
利用 Burp 的Intruder 模块，我们可以自动遍历user_id从 1 到 10000，瞬间窃取全站用户数据。
4. 实战二：短信轰炸与逻辑炸弹
很多App有“发送验证码”功能。
原始请求：
POST /api/send_sms HTTP/1.1 {"phone": "13800138000", "type": "login"}4.1 绕过频率限制
开发者通常会在前端或后端限制：“同一个手机号，60秒内只能发一次”。
绕过手法：
参数污染：修改
phone参数为13800138000,13800138001（如果后端解析不当，可能发给两个号）。空格绕过：
"phone": " 13800138000 "（后端可能只校验纯数字，带空格算新号码）。遍历ID：如果App是通过
user_id发送短信，直接遍历user_id，就能给全站用户发垃圾短信（短信轰炸）。
5. 实战三：重放攻击（Replay Attack）
在支付场景中，这是致命的。
场景：
用户购买商品，App生成一条支付请求发给服务器。
请求包：
POST /api/pay HTTP/1.1 {"order_id": "ORD123", "amount": 100, "sign": "a1b2c3d4..."}攻击复现：
拦截这个请求。
不修改任何参数，直接点击“Repeat”（重放）。
再次点击“Repeat”。
结果：
如果服务器没有做幂等性校验（检查这个订单是否已经付过款），用户可能会被扣费两次、三次……甚至一百次，而只收到一份商品。
6. 进阶：非HTTP协议的渗透
并非所有App都使用HTTP/HTTPS。很多IM（即时通讯）App、游戏App使用TCP/UDP 私有协议。
6.1 流量分析
工具：Wireshark（替代Burp）。
技巧：虽然私有协议可能是二进制的（乱码），但你可以寻找规律。比如前4个字节代表长度，后2个字节代表指令ID。
6.2 实例：篡改游戏坐标
某AR游戏通过TCP发送位置信息：
[包头][X坐标: 100][Y坐标: 200][校验和]攻击：
使用 Frida Hook 发送函数，或者直接在 Wireshark 拦截并修改数据包，将坐标改为X: 99999, Y: 99999。
结果：游戏角色瞬间“瞬移”到地图外，实现外挂功能。
7. 防御方视角：如何防住“中间人”
作为开发者，不能只靠HTTPS。
证书锁定（SSL Pinning）：
在App代码里硬编码服务器的证书哈希值。即使手机安装了Burp证书，App也会拒绝连接。
（注：我们在第二章演示了如何绕过它，但在没有Root的普通用户手机上，它能防住90%的脚本小子。）
双向认证（mTLS）：
不仅服务器要有证书，App（客户端）也要有证书。没有客户端证书，连不上服务器。这让抓包变得极难。
签名校验：
服务器端在接收关键参数（如支付金额）时，必须验证签名。且签名密钥不能像第一章那样硬编码在代码里。
下一章预告：
《第四章：深入系统底层 —— Root提权与内核漏洞》
当我们面对银行App或高防护系统时，应用层手段（Frida、Burp）可能会失效。此时，我们需要从系统层面入手，获取Root权限，甚至利用内核漏洞（CVE）来彻底接管设备。