标签:跳转 app info 目录 短信 url 导致 会员 功能
APP网站安全漏洞检测服务解决方案分类专栏: 网站安全 如何防止网站被黑 如何防止网站被侵入 如何防止网站被挂马 网站安全服务 网站安全防护服务 网站安全维护 APP安全 APP安全服务 网站安全问题 移动端安全服务 网站安全 文章标签: 网站漏洞检测 app漏洞检测 app安全防护
版权
关于APP漏洞检测,分为两个层面的安全检测,包括手机应用层,以及APP代码层,与网站的漏洞检测基本上差不多,目前越来越多的手机应用都存在着漏洞,关于如何对APP进行漏洞检测,我们详细的介绍一下.
APP代码:代码加密解密,反混迹调试,模式器安装
APP应用:跟网站漏洞检测是一样的,主要是一个SIGN值的正向,反向的算法,牵扯到https协议的传输绕过,SSL安全绕过。
APP用户任意登录漏洞,有些用户的登录调用的是token值,这个值是跟随用户的ID值的,APP没有做安全防护的情况下可以直接进行反编译,暴力破解生成token,造成可以登录任何用户的账户。在一个就是手机里的目录文件,share_safe目录里,保存了用户的账户密码等信息,我们把用户ID改为其他用户的,密码不变,再点开APP就可以登录其他用户账户了。
通过修改APP软件里的参数值,进行抓包截取,修改参数值发送到服务器端,进行绕过支付,直接开通会员,或者是充值。
APK源代码里会存放一些开发代码时候使用的IP地址,以及接收发送邮件的地址,账号密码,或者是一些隐蔽的第三方API接口。APP使用的数据库远程地址,以及一些mysql数据库的账号密码。APK日志里保存登录的信息,包括用户的账号密码。
相当于网站漏洞里的逻辑功能漏洞,有些APP组件在软件进行调用的时候并没有对齐进行严格的安全过滤,导致没有进行安全验证,就直接调用组件功能了。比如在调用发送手机短信,打开某个浏览器,打开URL网站的组件时会产生漏洞。
APK安卓下的软件包可以被直接反编译,导致可以重新生成新的软件,再一个反编译软件后对其进行修复。劫持软件广告,弹窗跳转,下载其他软件等漏洞操作。
标签:跳转 app info 目录 短信 url 导致 会员 功能
原文地址:https://blog.51cto.com/14149641/2557978