金融證券類手機(jī)應(yīng)用安全性評(píng)測(cè)報(bào)告-展示頁
2025-04-23 04:56本頁面
【正文】 導(dǎo)致帳號(hào)密碼失竊。二 釣魚攻擊攻擊者可以向目標(biāo)應(yīng)用傳入一個(gè)URL的釣魚頁面，通常為釣魚登錄頁面，該頁面將在目標(biāo)應(yīng)用中顯示。應(yīng)用名包名版本號(hào)已導(dǎo)出WebView組件個(gè)數(shù)數(shù)米基金寶2易陽指1表3 WebView安全分析結(jié)果上述應(yīng)用并沒有對(duì)導(dǎo)出的WebView進(jìn)行任何安全性防護(hù)，黑客可以利用暴露的并且未被安全防護(hù)WebView組件進(jìn)行釣魚攻擊、使用系統(tǒng)漏洞進(jìn)行攻擊、應(yīng)用數(shù)據(jù)隔離繞過攻擊等方式進(jìn)行惡意攻擊，從而竊取金融隱私數(shù)據(jù)，劫持交易等，進(jìn)而從中謀取暴利。惡意程序會(huì)向暴露的WebView傳入一個(gè)惡意URL地址或惡意參數(shù)，利用多個(gè)已知系統(tǒng)漏洞對(duì)其進(jìn)行攻擊，導(dǎo)致應(yīng)用內(nèi)部敏感數(shù)據(jù)泄露。對(duì)于金融證券類應(yīng)用說，一般并不需要將WebView導(dǎo)出給其他應(yīng)用供以調(diào)用。金融證券類應(yīng)用和銀行類應(yīng)用比較相似，應(yīng)用中并沒有包含太復(fù)雜的邏輯功能，主要功能由一個(gè)WebView提供。為避免具體測(cè)試方法和金融證券類應(yīng)用漏洞被人惡意利用，本次報(bào)告在未發(fā)布之前，已經(jīng)將漏洞詳情告知各家廠商。其中，在登陸安全性一項(xiàng)中，A、B、C、D 分別代表四種不同的登錄安全性問題，即，A：不校驗(yàn)服務(wù)端證書；B：重放攻擊；C：傳輸密碼加密簡(jiǎn)單；D：微博登陸不校驗(yàn)服務(wù)端證書。本次報(bào)告針對(duì)應(yīng)用市場(chǎng)上下載量TOP20的金融證券類應(yīng)用進(jìn)行了安全性分析。在網(wǎng)民上網(wǎng)設(shè)備中，%，%的使用率。關(guān)鍵詞：金融證券、APP、WebView、本地?cái)?shù)據(jù)、登錄安全目 錄安全測(cè)評(píng)綜述 1第一章 WEBVIEW安全性分析 3一 WebView不合理導(dǎo)出 3二 釣魚攻擊 3三 使用系統(tǒng)漏洞進(jìn)行攻擊 4四 應(yīng)用數(shù)據(jù)隔離繞過攻擊 6第二章 組件安全性分析 8一 模糊測(cè)試 8二 本地賬號(hào)密碼泄露漏洞 9三 功能接口暴漏漏洞 11四 大量組件暴露漏洞 11第三章 本地?cái)?shù)據(jù)安全性分析 12一 本地文件泄露 12二 本地存儲(chǔ)密碼漏洞 12第四章 登陸安全性分析 14第五章 安全建議 16附錄 參考鏈接 17安全測(cè)評(píng)綜述我國移動(dòng)互聯(lián)網(wǎng)發(fā)展已經(jīng)進(jìn)入全民時(shí)代。178。 在本地?cái)?shù)據(jù)安全性檢測(cè)中，共檢測(cè)出4款應(yīng)用將部分文件設(shè)置為全局可讀，3款應(yīng)用將文件設(shè)置為全局可寫。 在對(duì)應(yīng)用組件數(shù)據(jù)進(jìn)行的模糊測(cè)試中，共掃描出77個(gè)崩潰問題，其中Activity組件掃描出的崩潰問題最多，占崩潰問題總數(shù)的61%，其次是Broadcast、Service，分別占比為26%和13%。 在WebView安全性檢測(cè)中，共發(fā)現(xiàn)2款應(yīng)用的WebView存在嚴(yán)重的安全漏洞，可導(dǎo)致應(yīng)用程序內(nèi)部敏感數(shù)據(jù)泄露。測(cè)評(píng)內(nèi)容主要包括WebView安全性、組件安全性、本地?cái)?shù)據(jù)安全性和登錄安全性這4個(gè)主要方面的7項(xiàng)具體測(cè)試。2014年金融證券類手機(jī)應(yīng)用安全性評(píng)測(cè)報(bào)告2014年12月4日摘 要178。 本次報(bào)告主要針對(duì)下載量TOP20的金融證券類應(yīng)用進(jìn)行了一次全方位的安全性測(cè)評(píng)。178。178。178。 其中，同花順應(yīng)用安全系數(shù)最低，在20款應(yīng)用中，是唯一一款將文件同時(shí)設(shè)置為全局可讀，全局可寫的應(yīng)用，并且涉及文件個(gè)數(shù)最多。 在登陸安全性檢測(cè)中，共檢測(cè)出4款應(yīng)用不校驗(yàn)服務(wù)端證書，5款應(yīng)用存在重放攻擊問題，2款應(yīng)用傳輸密碼加密簡(jiǎn)單，3款應(yīng)用在社交賬號(hào)綁定后，微博登陸不校驗(yàn)服務(wù)端證書。截至2014年6月，其中,，%。移動(dòng)終端已經(jīng)成為一種重要的媒介，占據(jù)了人們?cè)絹碓蕉嗟臅r(shí)間，成為用戶日常生活不可分割的一部分。評(píng)測(cè)目標(biāo)應(yīng)用的基本信息如下表所示：應(yīng)用名稱包名版本編號(hào)數(shù)米基金寶萬得股票隨身行易陽指金太陽益盟操盤手投資脈搏東方財(cái)富通現(xiàn)金寶廣發(fā)手機(jī)證券和訊股票百度理財(cái)方正泉友通同花順鑫財(cái)通招商智遠(yuǎn)理財(cái)長(zhǎng)江e號(hào)手機(jī)證券極速版盈盈理財(cái)大智慧表1 測(cè)目標(biāo)應(yīng)用基本信息 此次測(cè)評(píng)內(nèi)容主要包括：WebView安全性、組件數(shù)據(jù)安全性、本地?cái)?shù)據(jù)安全性和登錄安全性這4個(gè)方面的7項(xiàng)具體測(cè)試，具體測(cè)評(píng)結(jié)果如下表。應(yīng)用名稱WebView控件安全性組件安全性本地?cái)?shù)據(jù)性登錄安全性不合理導(dǎo)出個(gè)數(shù)Activity崩潰個(gè)數(shù)Broadcast崩潰個(gè)數(shù)Service崩潰個(gè)數(shù)全局可讀文件個(gè)數(shù)全局可寫文件個(gè)數(shù)存在問題數(shù)米基金寶291030A萬得股票000100B隨身行01000
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號(hào)-1