梆梆安全移动应用安全测评云平台详析-国土报中文版

本篇文章1967字，读完约5分钟

移动应用的安全检测

安全检测可以帮助应用程序开发人员检查他们开发的应用程序apk的内部行为是否符合安全规范，总共将检测到7个项目。

(1)病毒检测，顾名思义，就是检测apk是否含有病毒特征。

(2)敏感行为检测包括短信和彩信行为检测、在线行为检测、系统破坏行为检测、安装和卸载行为检测、隐私窃取行为检测、喜好篡改检测和动态加载行为检测。

(3)配置文件检测将分别检测apk中的接收组件和服务组件。

(4)权限检测主要是检测apk敏感权限和冗余权限。

(5)敏感词检测包括代码检测和资源检测。

(6)广告监控主要评估apk中是否有广告内容。

(7)动态检测主要包括在线行为检测、本地配置文件读写检测、数据文件读写检测、sd卡文件读写检测、短信行为参数分析、彩信行为、加解密算法检测、反射类和方法调用检测以及隐私泄露检测。

这些安全检查可以帮助应用程序开发人员提前发现他们的应用程序中是否存在信息泄露和权限混乱等风险。这些检测项目可以自动完成。

移动应用的风险评估

风险评估可以发现apk在实际应用中可能面临的外部风险，如二次打包、反编译、数据泄露等。风险评估包括41个评估项目，其中9个项目可以自动完成，其余项目需要手工评估。

在可以自动评估的项目中，代码保护将检测java层代码是否受到保护、混淆和调试符号；Java层调试将检测androidmanifest中的调试标记；组件安全评估将检测androidmanifest中的组件是否可以导出；敏感函数调用将检测应用程序是否包含敏感函数，如短信操作、联系操作等。；调试日志函数评估用于检测应用程序中是否有调试日志函数调用；动态调试可以检测应用程序是否可以被动态调试，应用程序运行时是否可以被gdb工具钩住。动态注入可以检测应用程序是否可以动态注入；应用程序防篡改评估将检查应用程序代码、资源文件、配置文件等。被篡改后可以重新打包并正常运行(如添加广告)；明文数字证书的风险评估是检测客户端是否包含明文存储的数字证书文件。

梆梆安全移动应用安全测评云平台详析

需要手动执行的风险评估包括强化外壳识别、完整性检查、卸载和清除、版本升级、登录控制、支付控制、支付密码设置、双因素身份验证、超时重新身份验证、密码强度、反编译预防、测试数据包含、安装包中的敏感信息加密、第三方sdk安全、敏感信息显示、敏感数据拦截、密码专用键盘保护、未经授权的程序组件访问、敏感数据存储、敏感数据残留、远程数据传输保密性、事务通信完整性、日志信息，在接口切换、通信协议检测、双向认证、重放攻击、传输安全检测、接口劫持、屏幕捕获防止、远程数据传输保密性、事务通信完整性之后，要清除的敏感信息。

梆梆安全移动应用安全测评云平台详析

移动应用程序的漏洞扫描

漏洞扫描对于移动应用非常重要。漏洞扫描可以帮助开发人员提前发现apk中的安全漏洞，防止恶意攻击者利用这些漏洞攻击应用程序。

由于漏洞扫描的专业性，它只能自动检测测试中使用的url地址是否保留在程序代码中，以及应用程序是否使用带有任意下载apk漏洞的优盟sdk版本。数据库注入、全局可读和可写内部文件、webview远程代码执行、浏览器意图方案url攻击、手势密码绕过、被调用安装任何apk、被调用卸载任何apk以及其他需要手动完成的业务逻辑漏洞扫描。

梆梆安全移动应用安全测评云平台详析