金融證券類手機應(yīng)用安全性評測報告(編輯修改稿)
2025-05-11 04:56 本頁面
【文章內(nèi)容簡介】 Request()。}=function(){if (==4){//這里可以上傳獲取的文件內(nèi)容到遠程服務(wù)器()。alert()。}}(GET,arm)。設(shè)置定時器(null)。}setTimeout(loadXMLDoc,4000)。 /script/body/html攻擊目標本地文件存儲路徑第二步：執(zhí)行如下檢測代碼，致使文件中定時器開始計時。am start n :///data/local/tmp/ ez param_auto_login true所替換的數(shù)米基金寶中文件鏈接第三步：在定時器計時結(jié)束之前，代碼如下：rm ln s /data/data/此時，由于WebView存在緩存機制，，即計時器仍在繼續(xù)計時。第四步：定時器到達截止時間后，讀取當前文件的內(nèi)容并顯示在頁面中，讀取內(nèi)容如下圖：到此，我們實際上就已經(jīng)完成了一個通過外部命令，讀取數(shù)米基金寶內(nèi)部文件的過程。所以，為避免應(yīng)用內(nèi)部信息外泄，在應(yīng)用內(nèi)置的WebView通過file協(xié)議加載本地頁面時，應(yīng)該禁用頁面中的JavaScript函數(shù)。 當然，最安全的方法還是不要在應(yīng)用中導(dǎo)出WebView。 第二章 組件安全性分析Android四大基本組件分別是Activity，Service（服務(wù)），Content Provider（內(nèi)容提供者），Broadcast（廣播接收器）。這四大組件是安卓應(yīng)用的主要攻擊目標，在本次組件數(shù)據(jù)安全性測試分析中，我們首先使用模糊測試（Fuzz Testing）對Activity、Service、Broadcast這三大組件進行自動化分析，發(fā)現(xiàn)程序存在崩潰問題后，再針對崩潰問題進行人工漏洞挖掘，進一步發(fā)現(xiàn)嚴重高危漏洞。一 模糊測試模糊測試是一種通過向目標系統(tǒng)提供非預(yù)期的輸入并監(jiān)視其異常運行結(jié)果來發(fā)現(xiàn)軟件漏洞的方法，此方法可被用于測試Activity、Service、Broadcast這三大組件的穩(wěn)定性測試和漏洞挖掘。此次測試中共從20款應(yīng)用中掃描出77個崩潰問題，其中Activity掃描出的崩潰問題最多，占總崩潰問題總數(shù)的61%，其次是Broadcast、Service，分別占比為26%，13%。具體測試信息如下。應(yīng)用名包名版本號Activity崩潰個數(shù)Broadcast崩潰個數(shù)Service崩潰個數(shù)數(shù)米基金寶910萬得股票001隨身行100易陽指1400金太陽010益盟操盤手212投資脈搏101東方財富通441現(xiàn)金寶000廣發(fā)手機證券262和訊股票122百度理財110方正泉友通000同花順420鑫財通210招商智遠理財200長江e號200手機證券極速版011盈盈理財000大智慧200表4 模糊測試結(jié)果此外，通過對自動化結(jié)果的人工篩選，我們還發(fā)現(xiàn)了一些可利用的高危漏洞，如：本地賬號密碼泄露漏洞、功能接口暴露漏洞、大量組件暴露漏洞等。下面我們將對這些高危漏洞的原理進行詳細介紹。 二 本地賬號密碼泄露漏洞這個漏洞來自于萬得股票。(一) 漏洞原理這個漏洞的成因是開發(fā)者對于廣播權(quán)限控制理解有誤。正確的廣播選項控制管理應(yīng)該是分兩步：首先定義一個廣播權(quán)限，將廣播權(quán)限中的protectLevel屬性定義為signatureOrSystem，即只有相同數(shù)字簽名的應(yīng)用程序才能申請該權(quán)限。其后再注冊一個receiver，將剛剛自定義的廣播權(quán)限與receiver綁定。然而萬得股票這個應(yīng)用直接注冊了一個receiver： BroadCast。雖然開發(fā)者有意識的保護了這個廣播——receiver，但是非常遺憾
畢業(yè)設(shè)計相關(guān)推薦
鄂ICP備17016276號-1