app安全测试

lpy · 发表于 2015-6-6 11:32:55

小编最近转做app安全测试，由于以前没有没做过安全测试，所以自己上网就找了很多这方面的资料，无意间发现了一个叫爱内测很有意思！这个网站只需要自己上传一个安装包就能帮你从应用安全、源码安全、数据安全三大方面发现app安全漏洞近100多项，还能准确的定位到出现漏洞的代码并给出相应的修复建议，下面小编就为大家简单的介绍几项吧：
一、应用安全
1、业务安全中：
（1）用户登录：检测用户登录过程中对否需要输入用户名和密码、是否有限制密码次数、支付密码是否与账户使用同一键盘
（2）密码管理：是否加密传输密码，密码是否本地储存，是否含有敏感信息的输入等
（3）超时设置：检测是否有会话超时机制，超时后重鉴别
（4）异常处理：检测在软件操作异常时是否有异常处理机制，错误提示是否泄漏敏感信息
2、应用增强：
（1）权限管理：是否存在权限滥用问题
（2）输入检查：是否对输入内容过滤
（3）键盘记录：是否存在键盘记录隐患等
（4）界面劫持：用户在进行敏感信息输入时是否存在界面劫持和截屏问题
3、发布规范：
（1）测试数据移除：检测发布应用中是否包含不应该包含的测试代码
（2）日志信息移除：检测是否包含不应该包含的日志信息
4、应用管理：
（1）下载安装：检测是否有安全的应用下载渠道、检测各市场是否二次打包的恶意应用
（2）应用卸载：检测应用是否清除完全、是否有残留数据
（3）版本升级：是否能在线检测升级、升级是否会被第三方劫持、欺骗
5、组件安全:
Activity是否被权限攻击是否被劫持；BroadcastReceiver是否被监听、劫持；Service是否被权限攻击；Content Provider 是否会被权限攻击；Intent安全；Webview安全等

二、源码安全
1、程序完整性：
程序签名、完整性校验
2、程序机密性：
代码混淆、Dex保护、So保护、资源文件保护内存保护、重要逻辑安全
硬编码
三、数据安全
1、数据输入、输出：
（1）敏感数据显示：检测敏感数据（如用户密码）输入时软件界面是否为明文显示。
（2）输入监听：用户在进行输入操作是，输入的数据是否会被其他终端或其他程序非法授权获取
（3）调试信息：检测应用软件与服务器通信报文被第三方嗅探后是否可以进行重放攻击
2、数据存储
（1）存储数据类别：检测是否本地保存手机号、密码等敏感信息，程序应尽可能少的存储用户的敏感数据。
（2）数据访问控制
（3）敏感数据加密：检测是否对口令、密码、银行卡号等已本地保存的敏感信息进行加密处理，加密强度是否达到要求。使用SecureRandom 时使用方法setSeed 设置种子将会造成生成的随机数不随机
（4）内存数据安全
3、数据传输
（1）会话安全：检测程序session的安全性
（2）远程数据通信加密：检测程序与服务器通信的免肝数据是否进行加密处理
（3）本地数据通信安全：检测程序与本地其他应用进程间的数据传输是否采取加密处理和权限控制
（4）数据传输完整性