所属家族：暂无
所属军团：暂无
上次直播：从未直播随笔 - 20&
评论 - 29&
&&&&&&&&&&&
& & & & 最近在搞公司的安卓APP测试(ThinkDrive 企邮云网盘)测试，安卓app测试时使用代理抓包，发现所此app使用HTTP传输账号密码，且密码只是普通MD5加密，存在安全隐患，无法防止sniffer攻击、中间人攻击（因此这次安全问题，加强对这两安全术语的了解）：
问题1：账号密码采用http传输，账号与密码(MD5值)均可以捕获；
问题2：密码虽采用MD5加密，简单密码可以在线解密；
问题3：密码不解密也一样可以登录，通过A账号在app登录，再用sniffer得到的B&帐号与密码（MD5值），使用Fiddler修改A账号的请求完成B账号在APP登录
& & &公司邮箱各版本其实使用的也是明文传输，最近WEB虽采用了HTTPS传输，但仍是传输的明文，可以抓包查看（HTTPS也可通过Fiddler解析成明文），基于此原因，于是对主流邮箱登录进行抓包分析，本文主要分析QQ是如何把账号密码从客户端传到服务端，学习借鉴相关经验。
===========分析结果（Findyou）===============
【QQ触屏版】
测试帐号：
用户密码：123qwe
加密方法：RSA非对称加密
传输协议：HTTPS
测试帐号：
用户密码：123qwe
加密方法：MD5(hexchar2bin(MD5(密码))+QQ号16进制)+验证码)&
传输协议：HTTPS
分析结论：使随机验证码混合MD5加密以保证每次登录的值不一样
===========分析结果（Findyou）===============
【QQ触屏版分析】&
操作步骤：1.使用Chrome修改浏览器User Agent为iphone
& & & & & & & 2.打开Fiddler准备抓包
& & & & & & & 3.访问，QQ会自动适配到触屏版
& & & & & & & 4.查看源码
得到关键代码如下：
loginForm.onsubmit = function(){
var pwd = document.getElementById("pwd");
var p = document.getElementById("p");
var tsValue = document.getElementById("ts").
var PublicKey = "CF87D7B4C864F491A48FFF54B73AFAACAFAD975DFA175FAF0106CBA81AF1DDE4ACEC284DAC6ED9A0D8FEB1CC13EFFED46529C54CEA06D774E3CC7E073346AEBD6C66FC973F299EBB1E7CDC54E71AED059D228DFEB5B29C530FFDDCFE9";
var RSA = new RSAKey();
RSA.setPublic(PublicKey, "10001");
var Res = RSA.encrypt(pwd.value+ '\n' + tsValue + '\n');
p.value = hex2b64(Res);
pwd.value = "";
return true;
如此可以看使用加密方法：&RSA公钥加密算法
Fiddler抓包如下：（P为密码加密后的值）
【WEB版分析】&
注：网上查阅众多相关资料（网上有许多介绍QQ登录相关的内容），总结实践测试截图抓包如下
Step1: &打开，向服务器 获取验证码&
捕获请求：
https://ssl./check?uin=&appid=&ptlang=2052&js_type=2&js_ver=10009&r=0.3438
返回数据有两种情况:
1). ptui_checkVC('1','aabf7b95f0515288dcb5bf2092','\x00\x00\x00\x00\x83\x08\xee\x49');
2). ptui_checkVC('0','!BQI','\x00\x00\x00\x00\x83\x08\xee\x49');
其中 &1&代表需要验证码，&0&代表不需要验证码 ，'!BQI' 就是默认的验证码；
Step2: 密码加密&
腾讯JS加密代码：&
var I=hexchar2bin(md5(M));
var H=md5(I+pt.uin);
var G=md5(H+C.verifycode.value.toUpperCase());
密码&123qwe&通过以上加密方法，得到的结果与抓包请求中的加密值一样（请求截图见Step3）
pt.uin =&&\x00\x00\x00\x00\x83\x08\xee\x49 & &&QQ号&的16进制&ee49&
Step3：登录请求
捕获请求：&
https://ssl./login?ptlang=2052&aid=&daid=4&u1=https%3A%2F%%2Fcgi-bin%2Flogin%3Fvt%3Dpassport%26vm%3Dwpt%26ft%3Dptlogin%26ss%3D%26validcnt%3D%26clientaddr%&from_ui=1&ptredirect=1&h=1&wording=%E5%BF%AB%E9%80%9F%E7%99%BB%E5%BD%95&css=/zh_CN/htmledition/style/fast_login148203.css&mibao_css=m_ptmail&u_domain=@qq.com&uin=&u=&p=&15A6FB7C3A0F0F12BE2BB2BFA52F7BDF&verifycode=&!BQI&fp=loginerroralert&action=2-6-30865&g=1&t=1&dummy=&js_type=2&js_ver=10009
登录成功后返回的数据：
ptuiCB('0','0','https://ssl.ptlogin2./check_sig?pttype=1&uin=&service=login&nodirect=0&ptsig=9mgQ2dwnOftcwH965zksFLFPidMP2zxKQZJXkxdfOy0_&s_url=https%3a%2f%%2fcgi-bin%2flogin%3fvt%3dpassport%26vm%3dwpt%26ft%3dptlogin%26ss%3d%26validcnt%3d%26clientaddr%&f_url=&ptlang=2052&ptredirect=101&aid=&daid=4&j_later=0&low_login_hour=0&regmaster=0','1','登录成功！', 'QQ');
分析以上两种方法，采用非对称式（公/私钥）加密方法较为安全，已建议APP小组研发采用RSA非对称加密，使用HTTPS实现登录。
转载请注明出处：
阅读(...) 评论()新品名称：35WW360硅钢片
新品类型：全新产品
新品型号：35WW360
新品产地：武钢
新品品牌：武钢
新品数量：190
包装说明：精包装
价格说明：当天
发布日期：
公司名称：
经营模式：生产型, 贸易型, 服务型
联系方式：
留言询价：
&&35WW360硅钢片- 35WW360硅钢片 的 详 细 说 明
上海增续实业有限公司&一直致力于建设专业、稳健的企业形象&。&全体增续员工在公司领导的带领下，努力学习、相互鼓励、齐心协力、共同合作、不断提升企业员工的业务素质与业务技能，为业务协作单位提供优质、贴心的服务&。 系统形成一条高效的信本公司自成立始就一直本着＂诚信、互利、双赢＂的原则，广交朋友，本着＂人无我有，人有我优，人优我廉，同等价格比服务，同等服务比价格＂的营销理念，想客户所想，急客户所急，努力追求与客户稳定、长远的合作关系。凭借自身先进的网络管理和完善的物流息高速公路。 本公司专业经营各大钢厂，电工钢、硅钢片、矽钢片长期现货库存&&&& 可拆零、提供试样、分条、开平、运输、一条龙服务！&&&& 硅钢片&35WW360&0.35*950*C&&电议 硅钢片&35WW360&0.35*960*C&&电议 硅钢片&35WW360&0.35*1000*C&&电议 硅钢片&35WW360&0.35*980*C&&电议 硅钢片&35WW360&0.35*1010*C&&电议 硅钢片&35WW360&0.35*1050*C&&电议 硅钢片&35WW360&0.35*1100*C&&电议 硅钢片&35WW360&0.35*1120*C&&电议 硅钢片&35WW360&0.35*1110*C&&电议 硅钢片&35WW360&0.35*1160*C&&电议 硅钢片&35WW360&0.35*1200*C&&电议 硅钢片&35WW360&0.35*1205*C&&电议 硅钢片&35WW360&0.35*1210*C&&电议 硅钢片&35WW360&0.35*1220*C&&电议 硅钢片&35WW360&0.35*1225*C&&电议 硅钢片&35WW360&0.35*1230*C&&电议 硅钢片&35WW360&0.35*1175*C&&电议 硅钢片&35WW360&0.35*1075*C&&电议
本公司还供应上述产品的同类产品：国标硅钢片,优质硅钢片,低价硅钢片
上海增续实业有限公司位于宝山区宝杨路2000号，公司自成立以来，在全体增续人的共同开拓下，形成特色销售，以宝钢武钢硅钢片（电工钢）进口矽钢片卷、热轧品种钢为主 ( 包括汽车结构钢、碳结卷、深冲料、高碳钢、耐候钢、汽瓶钢、低合金卷板等 ) ，辅以普热、普冷、涂镀(热镀锌、镀铝锌、电镀锌)、酸洗、马口铁、中厚板、型材等配套品种销售服务，以自身的实力、信誉与各大钢厂和地区保持密切业务关系。并实行＂开平、纵剪、分卷、运输＂一条龙服务。
上海增续实业有限公司 一直致力于建设专业、稳健的企业形象 。 全体增续员工在公司领导的带领下，努力学习、相互鼓励、齐心协力、共同合作、不断提升企业员工的业务素质与业务技能，为业务协作单位提供优质、贴心的服务 。
本公司自成立始就一直本着＂诚信、互利、双赢＂的原则，广交朋友，本着＂人无我有，人有我优，人优我廉，同等价格比服务，同等服务比价格＂的营销理念，想客户所想，急客户所急，努力追求与客户稳定、长远的合作关系。凭借自身先进的网络管理和完善的物流系统形成一条高效的信息高速公路。
免责声明：以上所展示的信息由企业自行提供，内容的真实性、准确性和合法性由发布企业负责。新品快播网对此不承担任何保证责任。
友情提醒：为保障您的利益，建议优先选择
阳光企业。
&行业目录导航：}