Hello there, ('ω')ノ
フルアカウント乗っ取り (Androidアプリケーション)を。
脆弱性：
アカウント乗っ取り
記事：
https://vbharad.medium.com/full-account-takeover-android-application-78fa922f78c5
脆弱性について：
まず、これはP1カテゴリで評価された最もシンプルな脆弱性の1つで。
このバグを見つけるためには、Androidアプリケーションの
侵入テストのセットアップが必要で。
対象となるAndroidアプリケーションがtarget.apkであると仮定し。
この脆弱性に使用されるツール：
BurpSuite
Genymotion
一般的なステップ：
まず、Androidアプリケーションの侵入テストのセットアップ
次にgenymotionを開き、対象となるアプリケーションをインストールし。
アプリケーションをインストールした後、SSLunpinnedアプリケーションを
使用してSSLをバイパスする必要があり。
それから、Burpスイートでリクエストをキャプチャできて。
脆弱性を再現するための手順：
１．アプリケーションをインストールした後、被害者のアカウントとして
アカウントを作成し。
２．パスワードを回復に移動し、OTPまたはCODEを受け取るための
ユーザ名またはモバイル番号を入力して。
３．BurpSuiteでパスワード回復リクエストをキャプチャし。
リクエストを右クリックして、Do Intercept > Response To This Requestを
クリックし、レスポンスが表示されるまで前進をクリックして。
４．これで、被害者のモバイル番号に送信されるCODEまたはOTPを
見ることができて。
OTP付きの応答
5. これで、被害者のアカウントCODEを取得し、攻撃者はこのコードを使用してパスワードをリセットできます。
Best regards, (^^ゞ
