标签：app adb exported 测试 手机 安装 drozer
目录背景说明
执行卡塔尔项目手机app安全测试过程中，涉及的软件安装及使用。
一、电脑端安装adb连接手机
1、adb介绍
ADB（Android Debug Bridge）是一个通用的命令行工具，可以让你与模拟器或真机（Android设备）进行通信，adb 命令可用于执行各种设备操作（例如安装和调试应用），并提供对 Unix shell（可用来在设备上运行各种命令）的访问权限。它是一种客户端-服务器程序，主要包括以下几部分：
客户端：用于发送命令。客户端在电脑上运行，可以通过发送adb命令从命令行终端调用客户端。
守护进程（adbd）：在移动设备上运行命令，守护进程在每个设备或模拟器上作为后台运行。
服务器：用于管理客户端与守护进程之间的通信。服务器作为后台进程运行。
2、adb下载
链接：https://pan.baidu.com/s/1rbxlcnekYPT2HcHA9SmmgQ
提取码：iuax
3、adb安装方法
解压配置环境变量
环境变量名android，变量值D:\Program Files\platform-tools；
环境变量名path修改，增加%android%
验证是否安装成功打开cmd 输入adb
4、adb连接手机（确保手机和PC端使用同一个网络）
手机端：usb连接电脑，开启开发者模式，选择仅充电。
打开电脑端的cmd命令窗口，输入adb devices即可看到连接手机的设备
出现如下图即表示连接成功：
5、adb shell命令
输入：adb shell
cat /proc/cpuinfo
二、drozer安装与使用
1、drozer介绍
Drozer是一款针对Android的安全测试框架，分为安装在PC端的控制台、安装在终端上的代理APP两部分。可以利用APP的IPC通信，动态的发现被测试APP的安全风险。
2、drozer下载安装
链接：https://pan.baidu.com/s/1AMCb5WHzkOPN7VEB3A8jvA
提取码：ja7k
下载后PC端直接解压运行.exe文件执行安装，手机端安装解压后文件中的apk包。
3、drozer使用
1）drozer连接
PC端打开cmd窗口执行命令：
adb forward tcp:31415 tcp:31415
进入drozer安装目录，执行命令：drozer console connect (说明：出现java错误信息可忽略试试，直接执行下一个命令)
2）列出drozer当前可用的所有模块：list
3）获取所有安装包列表：run app.package.list
4）查找APP是否存在漏洞 run app.package.attacksurface 安装包名称
dz> run app.package.attacksurface com.kataer.moi
Attack Surface:
1 activities exported
0 broadcast receivers exported
0 content providers exported
0 services exported
is debuggable
activities exported 越权攻击，发送伪造消息等；
broadcast receivers exported 发送恶意广播，伪造广播消息，越权攻击等；
content providers exported 数据泄漏，SQL注入等；
services exported 越权攻击，服务拒绝，权限提升等；
获取activiity信息 run app.activity.info -a 安装包名称：
dz> run app.activity.info -a com.kataer.moi
Package: com.kataer.moi
com.kataer.moi.activity.SplashActivity
三、手机应用app端口状态查看
cmd窗口输入adb shell
查找app的进程ps -ef |grep com.kataer.moi
输入查看端口状态命令：netstat -a -p -t -u -l -w -e
运行手机应用和关闭手机应用时查看端口状态变化，验证端口是否正常释放
标签：app,adb,exported,测试,手机,安装,drozer 来源： https://www.cnblogs.com/seamy/p/15648728.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。