DIDCTF-2021第三届长安杯（检材一）
长安杯-1
直接使用在线工具计算就行。3fece1e93be4f422c8446b77b6863eb6a39f19d8fa71ff0250aac10f8bdde73a
长安杯-2
jadx反编译一波
程序包名通常定义在 AndroidManifest.xml 的 <manifest> 根元素中，并通过 package 属性指定。
在AndroidManifest.xml 搜package就行
plus.H5B8E45D3
长安杯-3
AppID（Application Identifier，应用标识符）是用于唯一标识一个应用程序的字符串，相当于应用在对应平台或系统中的 “身份证号”。不同场景下，它的作用和形式略有差异，但核心功能都是通过唯一标识来实现应用的识别、验证、权限管理等。在如图文件里有
这里就是H5B8E45D3
长安杯-4
这里在模拟器运行一下发现
一看选项里都没有，那我直接爆破，梭哈秒了五个都有😎。
在AndroidManifest.xml中uses-permission标签
| 权限名称 | 作用说明 | 风险提示 |
|---|---|---|
android.permission.ACCESS_COARSE_LOCATION | 获取大致位置（通过基站、WiFi 定位） | 可能泄露用户所在区域 |
android.permission.ACCESS_FINE_LOCATION | 获取精确位置（通过 GPS 定位，精确到米级） | 可能泄露用户具体位置 |
android.permission.READ_CONTACTS | 允许读取手机通讯录（联系人姓名、电话等） | 直接获取用户社交关系信息 |
android.permission.WRITE_CONTACTS | 允许修改通讯录（新增、删除、编辑联系人） | 可能擅自修改用户联系人数据 |
android.permission.READ_SMS | 允许读取手机短信内容（包括验证码、私人信息） | 可能获取短信中的敏感信息（如验证码） |
android.permission.RECEIVE_SMS | 允许接收短信（收到新短信时应用可感知） | 可实时获取新短信内容 |
android.permission.SEND_SMS | 允许发送短信（应用可直接发送短信，可能产生费用） | 可能擅自发送短信，甚至诈骗信息 |
android.permission.WRITE_SMS | 允许修改短信（如删除、编辑短信） | 可能篡改或删除用户短信记录 |
android.permission.READ_PHONE_STATE | 获取手机状态（如手机号、IMEI 设备号、通话状态） | 可获取设备唯一标识，用于追踪用户 |
android.permission.GET_ACCOUNTS | 获取手机中的账户信息（如 Google 账户、其他应用登录账户） |
长安杯-5
这里登入进去让填手机号验证码，抓包看一下，平常都是在网页转包，抓app包还是第一次，看这个视频就行
【01-APP渗透-Burp配置证书抓取模拟器流量与APP流量】https://www.bilibili.com/video/BV1sv4y1Q77h?vd_source=5869edd9493e4b5bb2169aab5073c708
抓包后如图、
这里是手机号和验证码，提交后不对。看学长文章发现问题
data=18888888888**111**Asus-ASUS_I005DA=18888888888+zs|
前面是手机号和邀请码，后面是通讯录信息。由于我的模拟器通讯录是空的，所以没有内容，答案应该是ACD，提交后还不对，个应用还会发送位置信息，但是只有登录后的用户它才会发送…………这个只能从index.html中看到，路径为
assets/apps/H5B8E45D3/www/index.html
让ai分析得
ACDE
长安杯-6
根据上图，请求方式为POST
长安杯-7
还是上图，地址是www.honglian7001.com
长安杯-8
“APIServer”（API 服务器）是一个广义概念，指提供 API（应用程序接口）服务的服务器或组件，核心作用是接收客户端（如 App、网页、其他服务）的 API 请求，处理后返回数据或执行指定操作，是不同系统、应用之间通信的 “中间桥梁”。
上面让ai分析中已将给出答案
var apiserver = 'http://www.honglian7001.com/api/uploads/';
长安杯-9
依旧拷打ai
www.honglian7001.com/api/uploads/apisms这里是uploads，ai还不够努力
长安杯-10
俺不中嘞，看了很多文章都是用雷电写的，为啥想雷电，火眼，取证大师这种工具不能开源嘞？？由于工具限制就不写了。答案是test.db
长安杯-11
偷一张图啊
我恨有钱人，，，
c74d97b01eae257e44aa9d5bade97baf
这后面的还是工具啊，先沉淀一下