資訊專欄INFORMATION COLUMN
摘要：所以安卓應(yīng)用程序要做好自身的防護(hù)措施，同時(shí)借助專業(yè)的安全服務(wù)平臺(tái)，如騰訊御安全，除了擁有專業(yè)級(jí)加固解決方案之外，還提供漏洞掃描服務(wù)，開(kāi)發(fā)者可發(fā)現(xiàn)常見(jiàn)的漏洞及風(fēng)險(xiǎn)，完美避開(kāi)大規(guī)模工具攻擊。
目前，Android應(yīng)用程序市場(chǎng)的發(fā)展速度飛快，不少開(kāi)發(fā)者為了追求開(kāi)發(fā)速度而忽視應(yīng)用程序的安全。但由于Android系統(tǒng)的開(kāi)源性及其Java編寫的特殊性，各類Android App經(jīng)常被爆出漏洞，有的Android開(kāi)發(fā)者只是對(duì)App進(jìn)行混淆代碼或是防二次打包，對(duì)于源碼的保護(hù)并不到位，同時(shí)也不清楚其中所隱藏的漏洞。
騰訊御安全作為一個(gè)專注于為個(gè)人和企業(yè)移動(dòng)應(yīng)用開(kāi)發(fā)者提供全面的應(yīng)用安全服務(wù)的平臺(tái)，其豐富的漏洞特征庫(kù)，能夠全面覆蓋已知漏洞，可對(duì)99%的安卓APP進(jìn)行漏洞風(fēng)險(xiǎn)掃描。同時(shí)，基于廣大用戶的漏洞掃描案例，總結(jié)出以下幾點(diǎn)常見(jiàn)的漏洞。
一、門戶大開(kāi)：常見(jiàn)漏洞攻擊的3個(gè)入口
1）導(dǎo)出組件
導(dǎo)出組件，是Android上最常見(jiàn)，門檻最低的攻擊入口，如manifest中組件設(shè)置不當(dāng)?shù)脑?，就存在被任意調(diào)用的可能，最常見(jiàn)的是拒絕服務(wù)攻擊。
示例：
防護(hù)措施：對(duì)外暴露的組件要做到“最小化”輸出，發(fā)布前做好安全檢測(cè)分析，提前發(fā)現(xiàn)風(fēng)險(xiǎn)。
2）端口開(kāi)放
應(yīng)用通過(guò)監(jiān)聽(tīng)固定接口，使用socket來(lái)實(shí)現(xiàn)本地IPC、遠(yuǎn)程網(wǎng)絡(luò)通信。這種監(jiān)聽(tīng)固定端口的方式很容易被局域網(wǎng)內(nèi)攻擊程序探測(cè)到，這些暴露的socket如果沒(méi)有協(xié)議加密、沒(méi)有權(quán)限控制的話，就很容被利用，作為攻擊入口，輕者拒絕服務(wù)，重者遠(yuǎn)程代碼執(zhí)行。
示例：
固定端口的監(jiān)控掃描
Socket實(shí)現(xiàn)，如果不做訪問(wèn)控制，協(xié)議安全性又比較弱，那后果就嚴(yán)重了
防護(hù)措施：端口隨機(jī)化，訪問(wèn)要控制，協(xié)議要加密。
3）插件加載
插件加載設(shè)計(jì)很普遍， so加載、dex加載…..但因?yàn)椴寮鎯?chǔ)不安全，很容易被人篡改和替換，如果沒(méi)有在加載過(guò)程做校驗(yàn)的話，那就有可能被人用偽造的插件來(lái)進(jìn)行任意代碼執(zhí)行。
示例：
公共目錄存儲(chǔ)的插件
Dex加載沒(méi)校驗(yàn)，存在任意代碼執(zhí)行的風(fēng)險(xiǎn)…
System.load來(lái)進(jìn)行so加載，如無(wú)校驗(yàn)，存在被替換、篡改的風(fēng)險(xiǎn)
防護(hù)措施：存儲(chǔ)要安全，別讓別人碰。加載要校驗(yàn)，我的地盤我做主。
二、偷梁換柱：常見(jiàn)漏洞攻擊的2種手段
1）偽造通信
常見(jiàn)偽造通信類型有：進(jìn)程內(nèi)組件間的Intent通信、遠(yuǎn)程Service通信、Socket的IPC通信等，如果沒(méi)有嚴(yán)格的通信校驗(yàn)，攻擊者通過(guò)偽造通信數(shù)據(jù)，達(dá)到不可告人的目的。
示例：
通過(guò)暴露的遠(yuǎn)程service，偽造通信數(shù)據(jù)，實(shí)現(xiàn)應(yīng)用程序遠(yuǎn)程下載和安裝
偽造socket通信數(shù)據(jù)，實(shí)現(xiàn)應(yīng)用特定指令執(zhí)行，盜取敏感數(shù)據(jù)
防護(hù)措施：協(xié)議數(shù)據(jù)要加密，通信訪問(wèn)要驗(yàn)證。
2）偽造文件
文件權(quán)限和校驗(yàn)的失控，讓攻擊者有機(jī)可乘。代碼文件存放在公共目錄，程序沒(méi)有對(duì)文件進(jìn)行完整性校驗(yàn)，就很容易造成應(yīng)用的代碼被劫持，從而進(jìn)行注入。
示例：
sdcard公共目錄下的so文件
應(yīng)用程序的進(jìn)程信息
代碼注入
防護(hù)措施：注意插件存儲(chǔ)安全，盡量避免公共目錄存儲(chǔ)；同時(shí)插件加載要校驗(yàn)，以免被劫持注入。
APP作為通向海量用戶信息的入口，涉及到直接的金錢交易或個(gè)人隱私相關(guān)的應(yīng)用的重要性是不言而喻的。而Android應(yīng)用市場(chǎng)對(duì)app的審核相對(duì)iOS來(lái)說(shuō)也比較寬泛，為很多漏洞提供了可乘之機(jī)。
所以安卓應(yīng)用程序要做好自身的防護(hù)措施，同時(shí)借助專業(yè)的安全服務(wù)平臺(tái)，如騰訊御安全，除了擁有專業(yè)級(jí)加固解決方案之外，還提供APP漏洞掃描服務(wù)，開(kāi)發(fā)者可發(fā)現(xiàn)常見(jiàn)的漏洞及風(fēng)險(xiǎn)，完美避開(kāi)大規(guī)模工具攻擊。
（騰訊御安全原創(chuàng)，轉(zhuǎn)載請(qǐng)注明來(lái)源）
文章版權(quán)歸作者所有，未經(jīng)允許請(qǐng)勿轉(zhuǎn)載,若此文章存在違規(guī)行為，您可以聯(lián)系管理員刪除。
轉(zhuǎn)載請(qǐng)注明本文地址：http://systransis.cn/yun/22948.html
摘要：云端辦公已經(jīng)是大多數(shù)企業(yè)的首選辦公方式，隨著云計(jì)算云計(jì)算的廣泛使用，云服務(wù)器云服務(wù)器成為企業(yè)最喜愛(ài)的云產(chǎn)品，使用簡(jiǎn)單，管理便捷且彈性可伸縮，還能為企業(yè)省下不少的成本。 云端辦公已經(jīng)是大多數(shù)企業(yè)的首選辦公方式，隨著云計(jì)算的廣泛使用，云服務(wù)器成為企業(yè)最喜愛(ài)的云產(chǎn)品，使用簡(jiǎn)單，管理便捷且彈性可伸縮，還能為企業(yè)省下不少的成本。但這些網(wǎng)絡(luò)數(shù)據(jù)安全問(wèn)題仍然是我們需要解決的一大難題，云服務(wù)器也會(huì)發(fā)生安...
摘要：計(jì)算結(jié)果根據(jù)計(jì)算公式緩解率安全措施的花銷安全措施的花銷，在和緩解率基本相等的情況下，的投資回報(bào)率要遠(yuǎn)高于。對(duì)于中小企業(yè)來(lái)說(shuō)，是投資回報(bào)率比較高的選擇。 前言 任何企業(yè)對(duì)投資都有回報(bào)的要求，回報(bào)可能是直接的「利潤(rùn)」，達(dá)到短期、長(zhǎng)期的目標(biāo)，或者通過(guò)投資減少損失。因此每個(gè)項(xiàng)目的決策者在每筆投資前都要衡量 ROI，證明該投資能達(dá)到的效果和收益，以便在項(xiàng)目結(jié)束時(shí)可以考核和衡量項(xiàng)目是否成功。 同時(shí)...
摘要：前言對(duì)于一個(gè)影子殺手而言，總能殺人于無(wú)形。前端也有影子殺手，它總是防不勝防地危害著你的網(wǎng)站本篇打算介紹一些前端的影子殺手們和。影子殺手們，由來(lái)已久，幾乎伴隨著整個(gè)互聯(lián)網(wǎng)的發(fā)展。 前言 對(duì)于一個(gè)影子殺手而言，總能殺人于無(wú)形。前端也有影子殺手，它總是防不勝防地危害著你的網(wǎng)站 本篇打算介紹一些前端的影子殺手們——XSS和CSRF?；蛟S，你對(duì)它恨之入骨；又或者，你運(yùn)用的得心應(yīng)手。恨之入骨，可能...
閱讀 2052·2021-11-08 13:22
閱讀 2513·2021-09-04 16:40
閱讀 1159·2021-09-03 10:29
閱讀 1726·2019-08-30 15:44
閱讀 2130·2019-08-30 11:13
閱讀 2800·2019-08-29 17:07
閱讀 1974·2019-08-29 14:22
閱讀 1254·2019-08-26 14:00
