移動網際網路安全性測試技術簡介

原文位址為： 移動網際網路安全性測試技術簡介

我們在講“移動網際網路安全性測試技術”之前，先來了解下移動網際網路安全測評服務！它的整個生命周期包含安全檢測、安全評估、安全加強和APP釋出管道監測。

1. 安全檢測

   對象：所有待上線的APP

   目标：防止惡意軟體流入應用市場

   内容：對APP進行安全性檢測，檢測APP是否存在病毒、木馬等惡意代碼

2. 安全評估

   對象：對安全性要求較高的APP

   目标：發現通過APP給業務帶來的安全風險

   内容：對APP進行安全性評測，評測APP和業務流程是否存在安全風險和漏洞

3. 安全加強

   對象：所有待上線的APP

   目标：對APP進行二進制級别的保護，防止被非法修改，防止被插入惡意代碼等

   内容：對APP安裝包進行安全加強和封裝，防止被非法破解、篡改和盜版等

4. APP釋出管道監測

   對象：所有待上線的APP

   目标：監測APP的被盜版和修改的現狀情況等

   内容：監測與APP相關的釋出管道，監測app被盜版和篡改的情況

接下來，我們再來看看移動網際網路安全性測試有哪些技術手段？

1. 傳輸安全
2. 明文流量
3. 不當的會話處理
4. 正确驗證SSL證書
5. 編譯器的保護
6. 反破解保護
7. PIE編譯
8. 用stack cookies編譯
9. 自動引用計數
10. uiwebviews
11. 資料驗證（輸入，輸出）
12. 分析UIWebView的實作
13. 不安全的資料存儲
14. SQLlite資料庫
15. 檔案緩存
16. 檢查屬性清單檔案
17. 請檢查日志檔案
18. Logging
19. 自定義日志
20. nslog報表
21. 崩潰報告檔案
22. 二進制分析
23. 分解應用
24. 檢測的彙編代碼保護混淆
25. 檢測防篡改保護
26. 檢測反調試保護
27. 協定處理程式
28. 用戶端注入
29. 第三方的庫

最後，我們來了解下APP常見漏洞與風險：

1. 靜态破解

   通過工具apktool、dex2jar、jd-gui、DDMS、簽名工具，可以對任何一個未加密應用進行靜态破解，竊取源碼。

2. 二次打包

   通過靜态破解擷取源碼，嵌入惡意病毒、廣告等行為再利用工具打包、簽名，形成二次打包應用。

3. 本地儲存資料竊取

   通過擷取root權限，對手機中應用儲存的資料進行竊取、編輯、轉存等惡意行為，直接威脅使用者隐私。

4. 界面截取

   通過adb shell指令或第三方軟體擷取root權限，在手機界面截取使用者填寫的隐私資訊，随後進行惡意行為。

5. 輸入法攻擊

   通過對系統輸入法攻擊，進而對使用者填寫的隐私資訊進行截獲、轉存等惡意操作，竊取敏感資訊。

6. 協定抓取

   通過設定代理或使用第三方抓包工具，對應用發送與接收的資料包進行截獲、重發、編輯、轉存等惡意操作。

特此聲明：大家在學習實踐過程中，請遵守相關網際網路法律法規，不要做違法違規行為！

轉載請注明本文位址： 移動網際網路安全性測試技術簡介