2022Android基础渗透测试.docx
《2022Android基础渗透测试.docx》由会员分享,可在线阅读,更多相关《2022Android基础渗透测试.docx(48页珍藏版)》请在第壹文秘上搜索。
1、APP安全基础测试CONTENTS图1:2017年12月通过360显危镜检查的约1.8万款安卓主流APP应用中,发现了99.5%的安卓应用存在威胁风险,平均每个应用威胁风险数量为38.6个。可见安卓市场上的APP存在严重的安全隐患表1:2017年十大AndrOid软件漏洞序列漏洞名称1 WebVieW远程代码执行漏洞2 界面劫持漏洞3 权限漏洞4 篡改和二次打包漏洞5 SharedPref读写安全漏洞6 WebVieW组件忽略SS1.证书验证错误漏洞7 固定端口监听风险漏洞8 数据弱加密漏洞9 动态注册广播暴露风险10业务逻辑漏洞那么作为基础的安全人员或者说一个新手该如何入门进行app的基础安
2、全测试呢?又该从哪些方面去检测呢?Android安全分类传输安全o客户端(APK)签名问题组件问题 日志问题 本地存储问题 客户端完整性问题 WebVieW相关问题AndrOidmanifeSt配置问题签名问题问题描述:安装包签名的目的是为了便于升级,便于模块化程序设计和开发,代码或者数据的共享,区别app防止被恶意第三方程序覆盖或者替换掉。有些apk程序签名有问题,则说明程序存在安全问题。检测工具:jarsigner.exe,AndrOid右键工具检测方法:jarsigner.exe-verify-verbose-certsXXXo渗透测试基础煮组件问题问题描述:Activity活动Serv
3、ice服务ContentProvider内容提供者BroadcastReceiver广播接收器组件暴露,使得攻击者可以调用组件去实现一些复杂攻击。比如:利用APP组件间相互协作泄露程序敏感信息。检测工具:Jd_GUI(javadecompile),右键工具,Androidkiller等检测方法:通过查看AndrOidmanifest.xml文件,判断exported=true”是否存日志问题问题描述:有时候开发人员为了便于调试往往在日志里面输入大量敏感信息,这些信息可能包含了用户密码信息等。攻击者通过分析,可以进行有效的攻击。检测工具:adb.exe,或者aat.exe,DDMS等检测方法:借
4、助adb.exe,输入Iogcat可以查看所有日志信息。可以指定进程名,然后获取指定程序的日志信息。AdblogcatgrepXXXX检测客户端对应的1.OgCat日志是否会打印一些用户或服务器的敏感信息。Searchformessages.AcceptsJavaregexes.Prefixwithpid:,app:.tag:ortexttolimitscope.verboseVHlD41.evelTimePIDTIDApplicationTagTextaW06-1914:46:53.6671194511945System.erratcom.android.internal.os.Zygote
5、lI06-1914:46:53.6771194511945System.outbusiNo:930003”JbUgiObjee1.:r:3a6afb56fd5a43f39f79912d03elb4ount:13440000001wfpassword:60I1.E)I06-1914:46:53.6871194511945ViewRootIinplCPURenderingVSyncenable=trueI06-1914:46:53.7271194511989IibGameXtend1.UCIDJ(1497854813745)GameXtendI06-1914:46:53.7271194511989
6、IibGameXtend1.UCID_1(1497854813745)GameXtendstate.I06-1914:46:53.7271194511989IibGameXtend1.UCID_1(1497854813745)cn.passguahPSparameter=1.lICEisnotsconfigurationI06-1914:46:53.7271194511989IibGameXtend1.UCID_1(1497854813746)PowerXtendD06-1914:47:13.8271194511945Volley1Request.finish:20129ms:de7768fN



- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 2022 Android 基础 渗透 测试
