HttpCanary 是一款 Android 系统上最强大的网络抓包工具，使用起来非常简单。HttpCanary 可以帮助用户实时监测自己手机的网络，相当于 PC 端的 Fiddler 或者 Charles 的移动版，通过此工具可以抓取 Android 移动端软件的 HTTP/HTTPS 网络数据包。

Stream 是一款 IOS 系统特有的网络抓包工具，该工具可以直接独立运行在iOS设备，无需依赖PC环境。Stream 面向对象为广大前端开发、客户端开发、后端开发、运维工程师、测试工程师以及具备一定网络分析能力的普通用户，通过此工具可以抓取 IOS 移动端软件的 HTTP/HTTPS 网络数据包。

密码字段通过 GET 方法传输是不安全的，因为在传输过程，用户凭据以明文等形式被放在请求的 URL 中。大多数 Web 服务器将记录所有请求的参数和 URL ，因此当凭据属于 URL 的一部分时，它们将显示在 Web 服务器日志中，这样就可能会有一些隐私信息被第三方查看获取。另外，攻击者也可以通过中间人攻击等手段，截获到 GET 请求 URL 中到用户凭据，增加了敏感信息泄露的风险。而 POST 请求方式通过“请求体”传递数据，参数内容不会在 URL 中显示，相较于 GET 请求方式会更加安全。

暴力破解的产生是由于服务器端没有做合理的限制，导致攻击者可以通过暴力的手段破解所需信息，如用户名、密码、验证码等。暴力破解的关键在于字典的大小，暴力破解需要一个庞大的字典，如4位数字的验证码，那么暴力破解的范围就是0000~9999。该漏洞常存在于应用系统的登录模块中，攻击者可以通过事先准备的字典或者社工生成的字典，对特定目标口令进行大量登录尝试，直至暴力破解成功。

在应用系统登录的过程中，当输入错误的用户名信息时，应用程序将反馈相应的诸如“用户不存在”的错误提示，攻击者可通过该提示为依据对用户名进行枚举，猜解出已存在于应用系统的用户名信息，最终攻击者再对已有用户的密码进一步猜解，从而降低暴力破解的成本。

Web 服务器对于 HTTP 请求的响应头缺少 Strict-Transport-Security，这意味着此网站更易遭受跨站脚本攻击（XSS）。Strict-Transport-Security 响应头相当于一个提示标志，被服务器用来提示客户端一定要遵循在 Content-Type 首部中对 MIME 类型 的设定，而不能对其进行修改，这就禁用了客户端的 MIME 类型嗅探行为。浏览器通常会根据响应头 Content-Type 字段来分辨资源类型，有些资源的 Content-Type 是错的或者未定义，这时浏览器会启用 MIME-sniffing 来猜测该资源的类型并解析执行内容。利用这个特性，攻击者可以让原本应该解析为图片的请求被解析为 JavaScript 代码。