移動互連網安全性測試技術簡介

標籤：安全性   app   法律   移動互連網   惡意軟體   

我們在講“移動互連網安全性測試技術”之前，先來瞭解下移動互連網安全測評服務！它的整個生命週期包含安全檢測、安全評估、安全強化和APP發布渠道監測。

1. 安全檢測
   對象：所有待上線的APP
   目標：防止惡意軟體流入應用市場
   內容：對APP進行安全性檢測，檢測APP是否存在病毒、木馬等惡意代碼

2. 安全評估
   對象：對安全性要求較高的APP
   目標：發現通過APP給業務帶來的安全風險
   內容：對APP進行安全性評測，評測APP和商務程序是否存在安全風險和漏洞

3. 安全強化
   對象：所有待上線的APP
   目標：對APP進行二進位層級的保護，防止被非法修改，防止被插入惡意代碼等
   內容：對APP安裝包進行安全強化和封裝，防止被非法破解、篡改和盜版等

4. APP發布渠道監測
   對象：所有待上線的APP
   目標：監測APP的被盜版和修改的現狀情況等
   內容：監測與APP相關的發布渠道，監測app被盜版和篡改的情況

接下來，我們再來看看移動互連網安全性測試有哪些技術手段？

1. 傳輸安全
2. 明文流量
3. 不當的會話處理
4. 正確驗證SSL認證
5. 編譯器的保護
6. 反破解保護
7. PIE編譯
8. 用stack cookies編譯
9. 自動引用計數
10. uiwebviews
11. 資料驗證（輸入，輸出）
12. 分析UIWebView的實現
13. 不安全的資料存放區
14. SQLlite資料庫
15. 檔案快取
16. 檢查屬性列表檔案
17. 請檢查記錄檔
18. Logging
19. 自訂日誌
20. nslog報表
21. 崩潰報告檔案
22. 二元分析
23. 分解應用
24. 檢測的彙編代碼保護混淆
25. 檢測防篡改保護
26. 檢測反調試保護
27. 通訊協定處理常式
28. 用戶端注入
29. 第三方的庫

最後，我們來瞭解下APP常見漏洞與風險：

1. 靜態破解
   通過工具apktool、dex2jar、jd-gui、DDMS、簽名工具，可以對任何一個未加密應用進行靜態破解，竊取源碼。
2. 二次打包
   通過靜態破解擷取源碼，嵌入惡意病毒、廣告等行為再利用工具打包、簽名，形成二次打包應用。
3. 本地儲存資料竊取
   通過擷取root許可權，對手機中應用儲存的資料進行竊取、編輯、轉存等惡意行為，直接威脅使用者隱私。
4. 介面截取
   通過adb shell命令或第三方軟體擷取root許可權，在手機介面截取使用者填寫的隱私資訊，隨後進行惡意行為。
5. IME攻擊
   通過對系統IME攻擊，從而對使用者填寫的隱私資訊進行截獲、轉存等惡意操作，竊取敏感資訊。
6. 協議抓取
   通過設定代理或使用第三方抓包工具，對應用發送與接收的資料包進行截獲、重發、編輯、轉存等惡意操作。

特此聲明：大家在學習實踐過程中，請遵守相關互連網法律法規，不要做違法違規行為！

著作權聲明：本文為博主原創文章，未經博主允許不得轉載。

移動互連網安全性測試技術簡介