移動(dòng)應(yīng)用數(shù)據(jù)安全解決方案

1、移動(dòng)應(yīng)用數(shù)據(jù)安全解決方案目錄CONTENTS安全現(xiàn)狀主要問(wèn)題安全檢測(cè)安全防護(hù)1安全現(xiàn)狀移動(dòng)應(yīng)用安全現(xiàn)狀在安全方面無(wú)法投入足夠的資 源沒(méi)有相應(yīng)的安全人才儲(chǔ)備業(yè)務(wù)系統(tǒng)安全性較差實(shí)力雄厚，安全投入大有自己的SRC團(tuán)隊(duì)，對(duì)安全問(wèn)題及時(shí)處理對(duì)業(yè)務(wù)系統(tǒng)做企業(yè)級(jí)的加固相對(duì)安全問(wèn)題較少大臺(tái) 型相 應(yīng)對(duì) 用安 平全小臺(tái) 型問(wèn) 應(yīng)題 用較 平多我*外賣(mài)Android客戶(hù)端任意賬戶(hù)登錄漏洞（ /archives/29263.html ）*家美食存在高危注射漏洞導(dǎo)致300W會(huì)員信息漏洞（/archives/36984.html）真*夫某處設(shè)計(jì)缺陷可一分錢(qián)訂任意外賣(mài)；（/archives/45434.html）百*外賣(mài)

2、某運(yùn)維平臺(tái)未授權(quán)訪(fǎng)問(wèn)；（/archives/44854.html）美*外賣(mài)任意商家賬號(hào)密碼秒改（/archives/44818.html）安 全 漏 洞以外賣(mài)平臺(tái)為例2主要問(wèn)題安全問(wèn)題主要集中在以下四個(gè)方面2、本地?cái)?shù)據(jù)安全：密碼等關(guān)鍵信息未加密存儲(chǔ)用戶(hù)隱私信息未加密存儲(chǔ)Shared_prefs/sqlite/cookie等 存儲(chǔ)中包含敏感信息1、靜態(tài)代碼安全：應(yīng)用反編譯破解應(yīng)用重打包業(yè)務(wù)邏輯代碼破解加密算法，秘鑰破解私有協(xié)議破解4、業(yè)務(wù)數(shù)據(jù)安全：存在鑒權(quán)邏輯問(wèn)題，易于偽 造請(qǐng)求，有ddos攻擊風(fēng)險(xiǎn)登錄業(yè)務(wù)協(xié)議過(guò)于簡(jiǎn)單，有 撞庫(kù)攻擊風(fēng)險(xiǎn)訂單業(yè)務(wù)協(xié)議過(guò)于簡(jiǎn)單，有 重放攻擊風(fēng)險(xiǎn)3、網(wǎng)絡(luò)數(shù)據(jù)安全：敏感

3、信息通信未使用 加密協(xié)議存在中間人攻擊風(fēng)險(xiǎn)通信協(xié)議過(guò)于簡(jiǎn)單主要問(wèn)題3安全檢測(cè)先對(duì)樣本進(jìn)行解壓反編譯，獲取基本信息；再進(jìn)行靜態(tài)代碼逆向分析包括反編譯檢測(cè)、二次打包、調(diào)試信息 檢測(cè)、so庫(kù)分析等；接著運(yùn)用動(dòng)態(tài)工具進(jìn)行滲透，尋找漏洞；之后總結(jié)漏洞，提供漏洞修補(bǔ)方案，并撰寫(xiě)報(bào)告。檢測(cè)整體流程靜態(tài)安全分析反編譯檢測(cè)、二次打包檢測(cè)、敏感信息檢測(cè)、so庫(kù)分析本地?cái)?shù)據(jù)安全Shared_prefs文件、數(shù)據(jù) 庫(kù)文件網(wǎng)絡(luò)數(shù)據(jù)安全協(xié)議分析、數(shù)據(jù)包分析、 中間人攻擊安全增強(qiáng)測(cè)試自帶鍵盤(pán)、界面劫持、透 明UI測(cè)試靜態(tài)檢測(cè)動(dòng)態(tài)檢測(cè)人工分析APK檢測(cè)業(yè)務(wù)數(shù)據(jù)安全登錄業(yè)務(wù)、訂單業(yè)務(wù)、鑒 權(quán)邏輯3.1靜態(tài)安全分析-解壓反編譯，

4、獲取基本信息 利用工具可以反編譯apk，獲取基本信息：應(yīng)用名稱(chēng)、包名、版本號(hào)、文件MD5值、證書(shū)信息等。3.1靜態(tài)安全分析反編譯檢測(cè)反編譯檢測(cè)包括混淆技術(shù)分析、敏感信息搜索兩個(gè)部分?；煜夹g(shù)分析：通過(guò)反編譯應(yīng)用程序，查找程序主類(lèi)，判斷程序主類(lèi)的包名是否被混淆、是否為簡(jiǎn)單 字。敏感信息搜索：利用快速檢測(cè)工具，查找資源文件及代碼中是否含有字符串和特定號(hào)碼。3.1靜態(tài)安全分析二次打包測(cè)試二次打包是指檢測(cè)應(yīng)用程序是否有防篡改機(jī)制，在客戶(hù)端程序啟動(dòng)后是否對(duì)程序進(jìn)行完整性校驗(yàn)。 測(cè)試流程：將應(yīng)用生成中間語(yǔ)言文件，便于修改代碼（程序源碼、資源文件、URL地址等），重打包 測(cè)試測(cè)試結(jié)果：將軟件名稱(chēng)“翼健康”修

5、改成“翼健康11”，應(yīng)用被篡改后仍能正常運(yùn)行。3.1靜態(tài)安全分析調(diào)試信息檢測(cè) 檢測(cè)應(yīng)用代碼中的調(diào)試信息代碼，是否泄漏程序流程與敏感信息。3.1靜態(tài)安全分析so庫(kù)分析 對(duì)存在so庫(kù)的應(yīng)用，反編譯，并且查找里面相關(guān)的敏感信息（加密算法、注冊(cè)機(jī)制、密碼保存）， 逆向分析安全性；是否可以進(jìn)行動(dòng)態(tài)調(diào)試，是否存在賬戶(hù)信息和交易信息等敏感信息泄露的風(fēng)險(xiǎn)3.2本地?cái)?shù)據(jù)安全針對(duì)應(yīng)用數(shù)據(jù)存儲(chǔ)安全進(jìn)行分析評(píng)測(cè)，在應(yīng)用運(yùn)行過(guò)程中對(duì)相應(yīng)的數(shù)據(jù)庫(kù)、cookie、shared_prefs和調(diào) 試信息進(jìn)行檢測(cè)分析，查找相關(guān)漏洞。Shared_prefs文件數(shù)據(jù)庫(kù)文件Cookie文件調(diào)試信息動(dòng)態(tài)3.3網(wǎng)絡(luò)數(shù)據(jù)安全包括協(xié)議分析、

6、網(wǎng)絡(luò)數(shù)據(jù)包分析、加密通信中間人攻擊三個(gè)部分。協(xié)議分析：通信是否使用SSL/TLS或IPSec等安全協(xié)議加密，注意證書(shū) 加密算法強(qiáng)度、證書(shū)是否過(guò)期、證書(shū)頒發(fā)域名是否和實(shí)際域名不匹配。網(wǎng)絡(luò)數(shù)據(jù)包分析：對(duì)明文數(shù)據(jù)包進(jìn)行數(shù)據(jù)流分析，查找是否存在敏感 信息泄露數(shù)據(jù)包加密通信中間人攻擊：采用SSL通信協(xié)議時(shí)，是否對(duì)服務(wù)器證書(shū)的真 實(shí)性和有效性進(jìn)行檢驗(yàn)，防止中間人攻擊，防止對(duì)關(guān)鍵數(shù)據(jù)進(jìn)行惡意 篡改和加密信息泄露。3.3網(wǎng)絡(luò)數(shù)據(jù)安全協(xié)議分析協(xié)議分析：應(yīng)用和服務(wù)器端進(jìn)行通信過(guò)程時(shí)，通過(guò)抓取數(shù)據(jù)包分析其通信的機(jī)密性和完整性。3.3網(wǎng)絡(luò)數(shù)據(jù)安全網(wǎng)絡(luò)數(shù)據(jù)包分析網(wǎng)絡(luò)數(shù)據(jù)包分析針對(duì)測(cè)試應(yīng)用的網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行抓包，對(duì)應(yīng)用關(guān)鍵的

7、功能進(jìn)行網(wǎng)絡(luò)通信時(shí)，交互的數(shù)據(jù)包進(jìn)行分析， 是否存在通信安全隱患。3.3網(wǎng)絡(luò)數(shù)據(jù)安全加密通信中間人攻擊加密通信中間人攻擊根據(jù)協(xié)議分析結(jié)果，通過(guò)對(duì)應(yīng)用SSL通信代碼進(jìn)行逆向，分析關(guān)鍵代碼。測(cè)試結(jié)果：應(yīng)用使用自定義證書(shū)，但是并未對(duì)證書(shū)進(jìn)行校驗(yàn)，通訊的內(nèi)容雖然經(jīng)過(guò)了加密，但是存在 中間人攻擊風(fēng)險(xiǎn)，會(huì)造成信息泄露。3.4安全增強(qiáng)測(cè)試 自帶鍵盤(pán)檢測(cè)，關(guān)鍵輸入截屏錄屏測(cè)試、輸入合規(guī)性測(cè)試3.4安全增強(qiáng)測(cè)試界面劫持檢測(cè)、透明UI欺騙檢測(cè)界面劫持：是否有防界面劫持功能，防止黑客偽造翼健康界面對(duì)原有界面進(jìn)行覆蓋，騙取用戶(hù)賬戶(hù) 和密透明和密I欺騙：制作透明頁(yè)碼(黑客可通過(guò)短信正常頁(yè)面上，竊取賬到控制端手機(jī)或上傳碼

8、。U的戶(hù)和密碼后轉(zhuǎn)向正常界面，后臺(tái)打印用戶(hù)名 遠(yuǎn)程服務(wù)器)面覆蓋在方 轉(zhuǎn)到式正發(fā)常界送面轉(zhuǎn)到正常界面3.5撰寫(xiě)報(bào)告報(bào)告應(yīng)包括樣本的基本信息、靜態(tài)掃描漏洞結(jié)果、動(dòng)態(tài)掃描漏洞結(jié)果、漏洞總結(jié)與修改建議。4安全防護(hù)保護(hù)方案混淆技術(shù)靜態(tài)安全分析加殼技術(shù)DEX文件加殼本地?cái)?shù)據(jù)安全share_preference文件加密sqlite數(shù)據(jù)庫(kù)文件加密DEX文件混淆SO文件加殼SO文件混淆資源文件防篡改、防二次打包DEX文件防篡改SO庫(kù)文件防篡 改H5代碼防篡改安全增強(qiáng)測(cè)試安全鍵盤(pán)應(yīng)用防劫持網(wǎng)絡(luò)數(shù)據(jù)安全建立SSL安全通道據(jù)傳輸加密監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)傳輸 傳輸應(yīng)用數(shù)據(jù)加密SDK4.1靜態(tài)安全分析加殼技術(shù) 軟件“殼”的作用

9、是對(duì)待保護(hù)的程序進(jìn)行壓縮或加密。一般來(lái)說(shuō)，在執(zhí)行加殼后的程序時(shí)，操作 系統(tǒng)會(huì)先執(zhí)行“殼”，即殼會(huì)先于原程序拿到運(yùn)行的控制權(quán)，殼被運(yùn)行之后會(huì)對(duì)原程序進(jìn)行解壓 或解密，最后運(yùn)行原程序，這樣就可以有效的防止程序被反編譯或非法的修改；加殼之后的二進(jìn) 制程序可以獨(dú)立進(jìn)行運(yùn)行，不需要借助第三方工具就能直接脫殼運(yùn)行。apk文 件Load er外原 殼apk文件原apk 文件Loader 加載映 射Apk原 文件Apk加 殼后運(yùn)行內(nèi)存 映射4.1靜態(tài)安全分析代碼混淆 DEX混淆： 通過(guò)混淆DEX文件中的字符串，增加反編譯代碼的閱讀成本，可以有效的防止自己的程序被破 解。DEX混淆加密力度從輕到重包括：靜態(tài)變量

10、的隱藏、函數(shù)的重復(fù)定義、函數(shù)的隱藏、以及 整個(gè)類(lèi)的隱藏。 SO混淆： SO文件的高級(jí)混淆則提供LLVM編譯級(jí)代碼混淆，不僅使得SO文件中的函數(shù)名和函數(shù)體得到混 淆，同時(shí)對(duì)代碼的控制流和數(shù)據(jù)流進(jìn)行混淆保護(hù)。4.1靜態(tài)安全分析代碼混淆DEX混淆前的代碼DEX混淆后代碼4.1靜態(tài)安全分析代碼混淆SO混淆前的控制流結(jié)構(gòu)SO混淆后的控制流結(jié)構(gòu)4.1靜態(tài)安全分析資源文件防篡改、防二次打包 DEX文件防篡改 加固后apk文件的DEX文件一旦被改動(dòng)，apk將自動(dòng)終止自身運(yùn)行。 SO庫(kù)文件防篡改 加固后apk文件的SO庫(kù)文件一旦被改動(dòng)，apk將自動(dòng)終止自身運(yùn)行。4.2本地?cái)?shù)據(jù)安全為本地?cái)?shù)據(jù)進(jìn)行加密，主要是為安卓

11、APP提供數(shù)據(jù)加密保護(hù)，從而防止、竊取用戶(hù)隱私信息 等。加密包括以下內(nèi)容：加密對(duì)象：用戶(hù)隱私信息、開(kāi)發(fā)者加密算法及秘鑰。加密范圍：針對(duì)手機(jī)本地share_preference和sqlite數(shù)據(jù)庫(kù)文件進(jìn)行加密。加密算法：采用多種加密算法，包括國(guó)際通用算法（RSA、MD5、DES）及自主研發(fā)的加 密算法等。加密方式：可根據(jù)需求，可有選擇地采取多重混用的方式,提高加密算法的復(fù)雜性。4.3網(wǎng)絡(luò)數(shù)據(jù)安全數(shù)據(jù)傳輸加密 建立SSL安全通道： 在應(yīng)用啟動(dòng)時(shí)，初始化網(wǎng)絡(luò)傳輸環(huán)境，建立SSL傳輸通道，等待應(yīng)用數(shù)據(jù)傳輸 監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)傳輸： 通過(guò)監(jiān)聽(tīng)?wèi)?yīng)用網(wǎng)絡(luò)傳輸接口，阻斷不安全的明文數(shù)據(jù)傳輸，將應(yīng)用數(shù)據(jù)提交到SSL通道 傳輸應(yīng)用數(shù)據(jù)加密SDK： 在客戶(hù)端和服務(wù)器分別嵌入數(shù)據(jù)加密SDK，傳輸?shù)臄?shù)據(jù)在客戶(hù)端進(jìn)行加密后開(kāi)始傳輸，服務(wù)器端進(jìn) 行解密。反之亦可實(shí)現(xiàn)。保證通道中傳輸?shù)臄?shù)據(jù)為高強(qiáng)度加密后的數(shù)據(jù)。4.4安全增強(qiáng)測(cè)試