从京东app学到的(1)

上次撸了像翔一样的文轩app,觉得很恶心,这次换个高大上的

看看京东的app能给我多少惊喜

还是从最基础的http开始

登陆http请求:

d_model=iPhone3%2C1&networkType=wifi&adid=A7F435E4-9C29-4540-8AE9-4657FAD20A05&st=1405680657333&body=%7B%22loginname%22%3A%22softstarxy%22%2C%22loginpwd%22%3A%2211fa12f3adacd2ec366d807d4b09467a%22%7D&osVersion=7.0.6&d_brand=apple&client=apple&screen=640%2A960&sv=1&area=22_1930_50947_0&sign=BXQbIzs8p7vKLnjcCtAwMg&uuid=hjudwgohxzVu96krv%2FT6Hg%3D%3D&clientVersion=3.6.1&openudid=97bfb35f56b144250ce8aa0fc500c085ae5eac66&partner=apple

md5加密,对于稍微复杂点的密码基本上就无解了,但是稍微简单点的密码还是可以通过彩虹表之类的东西穷举,破解还是很容易的。

所以加密两次或者混不同的机密算法应该是最安全的做法。

 

出于好奇,顺便测试了一下重置密码的http请求,结果,我无耻的发现自己的密码

从京东app学到的(1) 

真是不晓得说啥子好了,做一款正常的app就那么难吗

 

查看app内部数据保存

 从京东app学到的(1)

用keyChain保存的敏感信息,也是用的md5加密密码,那就把keyChain数据导出来看看。。。。

https://github.com/ptoomey3/Keychain-Dumper

 

Service: com.360buy.jdmobile

Account: softstarxy

Entitlement Group: SE98WUL95S.com.360buy.jdmobile

Label: com.360buy.jdmobile

Generic Field: (null)

Keychain Data: 0a053fc0987fb679965db9d099381672

保存的也是加密后的md5值,所以基本上无解,除非密码非常简单,可见任何时候稍微复杂的密码是必须的

 

这个方法可以看见手机里的所以wifi热点密码

需要注意的是使用Keychain-Dumper的时候需要赋予可读的权限

Jack-xiaode-iPhone:/private/var/Keychains root# chmod +r keychain-2.db

还需要给Keychain-Dumper添加执行权限

chmod +x /bin/keychain_dumper

 

剩下的就是

Jack-xiaode-iPhone:/private/var/Keychains root# /bin/Keychain-Dumper/keychain_dumper > keychain-export.txt

从京东app学到的(1),布布扣,bubuko.com

从京东app学到的(1)

上一篇:Spring远程调用技术<2>-Hessian和Burlap


下一篇:XMLHttpRequest简介