中文站

对话易盾 | 用户信息被窃取,Android应用不安全怎么办?

你的Android应用安全吗?


智能手机操作系统市场份额显示,在我国 Android 系统占比已经超过 80%。2020年,Twitter披露安全漏洞,导致使用Android设备访问Twitter服务的用户的直接消息泄露。

通过上述安全漏洞事件可见,Android应用的安全问题备受关注。黑客的恶意应用程序长驱直入,成功绕过系统权限,获取了用户的私人数据。这样的安全漏洞并不罕见,类似的新闻时常见诸报端。

对于Android应用而言,安全检测是一项重要的任务,它帮助开发人员识别和修复可能存在的安全漏洞和威胁,保护用户的数据和隐私。

1.Android应用安全检测套装


为了防止Android应用被破解,APP开发者应采取以下安全检测措施:

安全评估:安全评估是一种系统的方法,可以确定应用程序中存在的安全风险。通过对应用程序进行安全评估,识别漏洞和弱点,评估数据保护、身份验证和访问控制机制的有效性,并提出有关如何修复这些问题的建议。

代码审查:代码审查是一种静态分析技术,用于查找应用程序中的安全漏洞。在代码审查期间,安全专家会对应用程序的源代码进行仔细分析,以确定是否存在潜在的漏洞和安全问题。代码审查可以帮助发现常见的漏洞类型,如SQL注入、跨站脚本攻击、不安全的存储和访问控制问题等。

漏洞扫描:漏洞扫描是一种自动化技术,用于检测应用程序中的漏洞和安全问题。漏洞扫描工具可以扫描应用程序中的代码和配置文件,以发现潜在的漏洞和弱点。通过漏洞扫描,可以快速发现应用程序中的漏洞,并提供有关如何修复这些漏洞的建议。

加密和数据保护:在Android应用程序中使用加密和数据保护有效保护用户的数据和隐私。安全专家可以评估应用程序中使用的加密算法和实现方式,以确定是否存在潜在的安全漏洞。此外,安全专家还可以检查应用程序中的数据存储方式,以确保用户数据受到适当的保护。

2.基本信息检测

基本信息的检测主要是:APP的名称、APP版本、包名、文件大小、文件hash值、权限信息以及APP的证书信息等。

3.静态检测

静态扫描是指在不运行应用程序的情况下,通过对应用程序代码和资源文件的分析,检测应用程序中的安全漏洞、代码质量问题等。

静态检测主要是对反编译风险、敏感信息、资源文件、四大组件安全的检测。

反编译风险:未进行加固的APK可以被轻易地反编译,黑客可以轻易地获取应用程序的源代码和敏感信息,从而进行逆向工程、代码分析和漏洞挖掘。

敏感信息:在进行反编译后,如果用户名、密码、密钥等敏感信息硬编码在程序中,容易造成敏感信息泄露,对用户造成财产损失。

资源文件:资源文件会暴露出大量敏感信息和破解线索,一旦被篡改或被删除,程序将无法正常运行。

四大组件风险:四大内部组件分别为activity、service、content provider、broadcast receiver,如果存在导出风险,则可能被恶意的APP利用。引发风险的本质是组件的隐私泄露问题。如果组件的某些属性或者方法没有被正确地保护或者控制,那么黑客或者恶意程序可以轻易地调用组件,并获取组件中的敏感信息。

4.动态检测


以下是对APP开发者所面临的动态风险问题的分析:

疑问一:检测APP是否存在被动态调试的风险?

如果App存在C层代码动态调试的风险,攻击者可以利用GDB、IDA、Ptrace等调试器跟踪运行的目标程序,查看、修改内存中的代码和数据,甚至分析篡改程序的业务逻辑,对客户关键数据或者服务器进行恶意攻击。

“修改客户端业务操作的数据”作为一种常见风险,主要表现为:修改转账账号、金额等,导致用户的损失。

疑问二:检测APP是否存在内存数据dump风险?

APP在运行时会产生敏感数据,包括解密后的资源文件、解密后的执行代码等。

如果进程的内存数据未采取任何保护措施,攻击者会使用dump工具将程序内存dump到文件中,或者修改内存数据,以欺骗程序、伪装虚假数据欺骗服务端。

疑问三:检测APP是否存在篡改和二次打包风险?

APK篡改后二次打包不仅严重危害开发者版权和经济利益,且使APP用户遭受到不法应用的恶意侵害。对客户端程序添加或修改代码,修改客户端资源图片,配置信息、图标,添加广告,推广自己的产品,再生成新的客户端程序,可导致大量盗版应用的出现,分食开发者的收入。

此外,恶意的二次打包还能实现应用钓鱼、添加病毒代码、添加恶意代码,从而窃取登录账号密码、支付密码,拦截验证码短信,修改转账目标账号、金额等等。

疑问四:检测APP是否存在注入风险?

“ 注入”是常见的攻击手段。通过系统API将代码写入到目标进程并让其执行,攻击者将一段恶意代码写到目标进程,这段代码加载其它可执行程序,进而实施hook,监控程序运行、获取敏感信息等。

常见的动态注入,可以实现窃取输入的登录账号、密码、支付密码,修改转账的目标账号、金额,窃取通讯数据等。

5.强度检测

即使APP经过加固,也不能保证绝对安全。如果加固强度较低,或者说使用的加固手段并不是业界前沿技术,则安全问题将持续存在。

易盾的安全检测方案,将从以下几个角度对APP的壳强度进行评估:

○ 测试加固壳是否可以检测到官方版frida与魔改版frida

○ 测试不同的root方案,观察是否会被壳检测

○ 脱壳方案是否可以正常实施

目前,国内规定在中国境内上线的Android应用程序必须经过国家相关机构的审查和批准,以确保应用程序的内容、功能和数据安全等方面符合相关法律法规的要求。

如果APP的安全防护没有做好,将面临被下架的风险。易盾安全检测方案协助开发者更好发现APP存在的安全问题。

点击链接申请“免费安全检测”,快来体验“一步到位”的最新应用安全检测,通过一系列检查,全面掌握应用的安全情况,让用户的使用更加安心