就像通过HTTP传送敏感凭证一样，使用HTTP与其服务器进行通信并且不使用任何加密的应用程序都容易受到此问题的影响。

在iGoat应用程序中，有一个简单的演示，在应用程序通过http传用户名和密码，没有加密保护，因此攻击者可以捕获/嗅探这些数据包，并可能劫持受害者的​​帐户。

打开iGoat应用程序并转到Data Protection ( Transit ) 然后选择 Server Communication

另一边别忘了运行iGoat ruby服务

现在进入应用程序并随意输入数据并点击sbmit按钮。输出就会像这样。

在后台，我们的ruby iGoat服务器将作为一个攻击场景进行演示，其中用户登录凭证信息被攻击者窃取为纯文本。

在设置上使用burp进行中间人攻击，将可以抓包到明文的信息。

译者注：翻译到一半本来不想舍弃了，本教程并不具备太多干货，比较适合0基础的初学者，想要深入了解iOS安全方面还是需要多看逆向相关书籍并多实战演练，多分析APP，我也在学习的道路上，共勉。