首先,你的app得先混淆:AndroidStudio 混淆打包
先来个checklist:
编号 |
检查项目 |
测评结果 |
1 |
明文传输用户名、密码和验证码等敏感信息。 |
|
2 |
不安全的本地存储。 |
|
3 |
泄漏后台服务器地址,导致服务器可控 |
|
4 |
边信道信息泄漏 |
|
5 |
未使用有效的token机制,导致可以绕过鉴权 |
|
6 |
传输数据可修改,造成越权访问 |
|
7 |
登录设计缺陷,存在被暴力破解风险 |
|
8 |
利用业务逻辑缺陷制作短信炸弹 |
|
9 |
关键页面存在钓鱼劫持风险,导致用户信息泄露 |
|
10 |
可以重新编译打包 |
|
11 |
WebView漏洞 |
|
12 |
Web表单设计缺陷,存在SQL注入漏洞 |
|
13 |
组件Content Provider配置错误,导致数据泄漏 |
|
14 |
组件Activity配置错误,导致登录页面被绕过 |
|
15 |
组件Service配置错误,导致非法权限提升 |
|
16 |
组件Broadcast Receiver配置错误,导致拒绝服务、非法越权 |
|
17 |
开启allowbackup备份权限,存在备份数据泄露风险 |
|
18 |
开启Debuggable属性,存在应用信息篡改泄露风险 |
|
19 |
下载非官方开发工具,导致IOS版本APP被植入恶意代码 |
|
20 |
开发者证书不规范,导致开发者身份信息不明 |
具体的解释:
1、明文传输用户名、密码和验证码等敏感信息
问题描述:用户登录过程中,在与服务器端交互时明文传输用户名、密码或者验证码等,可导致用户敏感信息泄露。
检测结果:手机连接Fiddler代理,在Fiddler代理中抓包测试。APP登录操作: 账号、登录凭证不安全传输。
密码虽然是MD5散列后的数值,但是传输使用的是http协议,存在被嗅探窃取的可能性,一旦泄漏,黑客能够直接通过该用户名和Password登录。
整改建议:登录凭证信息需加密传输,建议使用自定义加密协议或使用https方式传输。
2、 不安全本地存储
问题描述:安卓开发者使用多种方法将数据存储在安卓应用中,而存储在本地的数据文件如果未加密,易造成敏感信息泄漏。
检测结果:Shared Preferences用户名和登录凭证明文存储在healthConfig.xml文件中。
SQLite 未发现敏感数据存储
SD卡敏感数据存储 未发现数据写入。
整改建议:对存储在本地的敏感数据进行加密。
3、泄漏后台服务器地址,导致服务器可控
问题描述:在使用BurpSuite等工具对应用进行监听的过程中,发现后台服务器地址。对后台服务器进行测试,若后台服务器存在漏洞,则可控制后台服务器。
检测结果:后台服务器地址为**********,未发现可导致服务器可控的安全漏洞。
4、边信道信息泄漏
问题描述:当APP处理用户或其它数据源输入的数据时,可能会把数据放在不安全的位置,容易导致边信道被攻击者利用造成信息泄露。
检查结果:用户登录凭证、设备ID等敏感数据出现在log中。
整改建议:对logcat的打印数据进行过滤,敏感数据不能出现在log中。
5、未使用有效的token机制,导致可以绕过鉴权
问题描述:如果被测应用没有使用有效的token机制,对登陆响应中的服务器返回的鉴权信息进行修改,即可绕过服务器鉴权,直接访问系统内部信息。
检测结果:从代理抓包分析,APP登录是会将一个deviceid和用户凭证一起提交,用户登录成功后,该deviceid将作为后续接口调用的凭证,即Token。
经查,该deviceid为设备中某些公开信息(IMEI、设备型号、操作系统版本等)的Base64编码结果,不具备隐私性,黑客可以通过获取这些公开信息伪造用户身份。
整改建议:在deviceid中加入随机数据。
6、传输数据可修改,造成越权访问
问题描述:利用已有的用户名密码登录应用,当应用访问某一模块时,使用BurpSuite等代理工具进行监听,对访问该模块时的关键信息进行替换,则可越权访问他人的应用模块。
检测结果:同第5条。
7、登录设计缺陷,存在被暴力破解风险
问题描述:用户登录过程中,未对同一用户的登录失败次数做限制,导致存在被暴力破解的风险。
问题详情:对登录接口进行暴力破解,错误50次后,输入正确用户名和密码仍然成功登录,表明没有对登录接口做暴力破解防护。
整改建议:限制账号登录错误次数,超过阀值时需要提供验证码机制。
8、利用业务逻辑缺陷制作短信炸弹
问题描述:如果在用户注册过程中存在逻辑设计缺陷,可对指定手机号码随意发送短信,造成短信炸弹攻击,可能造成用户投诉或恶意软件传播等。
测试结果:用户选择注册或忘记密码功能时,会触发短信验证码发送,多次调用验证码发送接口,每分钟能收到多条短消息,且没有发现总量限制。
整改建议:如果已经限制了每个用户每分钟的短信条数(如果没有限制,请做限制处理),建议进一步限制每个用户每天的短信条数。
9、关键页面存在钓鱼劫持风险,导致用户信息泄露
问题描述:劫持钓鱼,指恶意应用针对正常应用的特定界面进行仿冒替换,诱骗用户在仿冒界面操作,达到钓鱼目的。此类攻击,多针对APP的鉴权或支付场景,诱骗用户输入关键隐私信息,如账号、登陆密码和支付密码等,达到隐私窃取的目的。
检测结果:恶意应用可以通过监测进程机制实现对APP的劫持,当APP启动时,弹出伪造的登录Activity,实现钓鱼劫持。
整改建议:
- 建议在登录Activity的onpause方法中实现钓鱼劫持防护功能,如提示用户当前登录也已切换等。
- 使用HTML5架构或android+HTML5混合开发,实现登陆、支付等关键页面,降低被劫持的风险。
10、可以重新编译打包
问题描述:破解者通过反编译后得到程序源代码,修改后重新编译、签名并安装。在重新打包的过程中,破解者可能注入恶意代码,或者修改软件逻辑绕过鉴权等。
检测结果:通过反编译工具对APP进行反编译后,修改部分源代码后,可以重新打包安装,并成功安装在手机中运行。
整改建议:通过检查程序安装后classes.dex文件的Hash值,判断软件是否被重打包并进行提示。(这个具体使用时判断了打包keystore的SHA1值,不过前提是这个jks文件没被劫持啊)
11、WebView漏洞
问题描述:在WebView下有一个非常特殊的接口函数addJavascriptInterface,能实现本地java和js的交互。被测应用中存在WebView漏洞,没有对注册JAVA类的方法调用进行限制,导致攻击者利用addJavascriptInterface这个接口函数穿透webkit控制android本机。
检测结果:通过反编译源码发现BrowserActivity中存在WebView组件,并使用了addJavascriptInterface接口,但是对该接口使用@JavascriptInterface进行了保护,无需整改。(说实话这个不太熟悉)
12、Web表单设计缺陷,存在SQL注入漏洞
问题描述:开发过程中未对特殊字符进行过滤,攻击者可以通过把SQL命令插入到Web表单提交或者输入域名或者页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令的目的,这样攻击者就能够对内部数据库进行增删改操作。
检测结果:未发现SQL注入漏洞
13、组件Content Provider配置错误,导致数据泄漏
问题描述: Content Provider是安卓应用组件,以表格的形式把数据展现给外部的应用。每个Content Provider都对应一个以”content://”开头的特定URI,任何应用都可以通过这个URI操作Content Provider 应用的数据库。如果应用对权限控制不当就会造成信息泄露。
检测结果:使用drozer工具检测,未发现可被非法访问的URI。
14、组件Activity配置错误,导致登录页面被绕过
问题描述:Activity是安卓应用组件,提供与用户进行交互的界面。如果应用对权限控制不当,可以绕过登录界面直接显示该界面。
检测结果:使用drozer工具检测,发现多个可被外部应用直接调用的Activity组件,其中有的Activity可以跳过登录直接启动,存在安全风险。
整改建议:对风险Activity显式设置android:exported=false权限。
命令:dz> run app.activity.info -a <packageName>
15、组件Service配置错误,导致非法权限提升
问题描述:Service是Android中四大组件进行后台作业的主要组件,如果被测应用对权限控制不当,导致其他应用可以启动被测应用的Service。
检查结果:使用drozer工具检测,发现可被外部应用直接调用的Service组件,但未发现非法调用风险。
整改建议:请自确认暴露出来的两个Service是否存在非法调用风险,对风险Service显式设置android:exported=false权限。
命令:dz> run app.service.info -a <packageName>
16、组件Broadcast Receiver配置错误,导致拒绝服务、非法越权
问题描述:Broadcast Receiver是Android中四大组件用于处理广播事件的组件,若存在配置不当则其他应用可以伪装发送广播从而可造成信息泄露,拒绝服务攻击等。
检查结果:使用drozer工具检测,发现多个暴露的Broadcast组件,通过drozer发送这些自定义的Receiver对应的广播分别会造成系统弹框和程序奔溃,可能会被恶意应用利用,造成拒绝服务攻击。
整改建议:对外暴露的Broadcast组件显式设置android:exported=false权限。
命令:dz> run app.broadcast.send --component <packageName> <Customer Receiver Name>
17、开启allowbackup备份权限,存在备份数据泄露风险
问题描述: 被测应用的AndroidManifest.xml文件中allowBackup属性值被设置为true,可通过adb backup对应用数据进行备份,在无root的情况下可以导出应用中存储的所有数据,造成用户数据泄露。
检测结果:反编译查看AndroidManifest.xml,发现allowBackup属性被设置为true
整改建议:如无特殊需求,将allowBackup设置为false
18、开启Debuggable属性,存在应用信息篡改泄露风险
问题描述:被测应用的AndroidManifest.xml文件中Debuggable属性值被设置为true,可以设置断点来控制程序的执行流程,在应用程序运行时修改其行为。
检测结果:未发现开启Debuggable属性
19、下载非官方开发工具,导致IOS版本APP被植入恶意代码
检查结果:此项仅针对IOS客户端。请项目组自检,确保开发工具为官方下载。
(Xcode后门事件影响不小啊)
20、开发者证书开发者证书不规范,导致开发者身份信息不明
问题描述: 被测应用的开发者证书不规范,导致被测应用的开发者身份信息不是与本公司相关的信息。
(这个在生成jks或者keystore的时候要填写公司或者个人合理的信息)