APP漏洞自动化扫描专业评测报告（中篇）

前言上一篇中通过对阿里聚安全[1].360App漏洞扫描[2].腾讯金刚审计系统[3].百度移动云测试中心[4]以及AppRisk Scanner[5] 在收费情况.样本测试后的扫描时间对比和漏洞项专业对比后,本篇将以各个厂商的扫描能力作为分析维度展开. 测试方法使用自己编写的测试APP测试各个扫描平台的扫描能力.这些扫描能力主要分为静态检测能力和动态检测能力.静态检测能力包括检测隐藏dex.过程间分析.较复杂漏洞检测.逆向分析:动态测试主要是指测试拒绝服务漏洞的能力,拒绝服务漏洞又可以划分…

APP漏洞自动化扫描专业评测报告

一.前言目前在业界有很多自动化检测APP安全性的在线扫描平台.为了了解目前国内移动APP在线漏洞扫描平台的发展情况,我进行了一次移动安全扫描平台的评测分析:主要从漏洞项对比.扫描能力对比以及扫描结果这三个方向来对比. 希望此次的调研结果可以为读者提供更加可靠的安全漏洞扫描服务建议. 二.分析对象这一章主要介绍需要对比的扫描平台和需要测试的APP样本. 2.1 对比平台扫描平台网址阿里聚安全漏洞扫描 http://jaq.alibaba.com/ 360APP漏洞扫描 http://de…

APP漏洞自动化扫描专业评测报告（上篇）

一.前言随着Android操作系统的快速发展,运行于Android之上的APP如雨后春笋般涌现.由于一些APP的开发者只注重APP业务功能的实现,对APP可能出现安全问题不够重视,使得APP存在较多的安全隐患.国内一些安全厂商为这些开发者提供了各种各样的安全服务,包括APP的加固.安全漏洞分析等. 目前在业界有很多自动化检测APP安全性的在线扫描平台.为了了解目前国内移动APP在线漏洞扫描平台的发展情况,我进行了一次移动安全扫描平台的评测分析:主要从漏洞项对比.扫描能力对比以及扫描结果这三个方…

APP漏洞自动化扫描专业评测报告（下篇）

上篇.中篇回顾:通过收费情况.样本测试后的扫描时间.漏洞项对比以及扫描能力这几个方面对阿里聚安全[1].360App漏洞扫描[2].腾讯金刚审计系统[3].百度移动云测试中心[4]以及AppRisk Scanner[5]进行了对比分析.作为本系列的最后一篇,我将会以4个随机选取的APP的测试结果来进行对比. 四.扫描结果对比选取的APP:说明一下这次选择的四个app是根据下载和安装量来选择,分别在网络工具类.天气.社交资讯类和搜索工具类选择了下载量和安装量最大的.出于对应用的隐私保护这里把最后…

移动APP漏洞自动化检测平台建设

移动APP漏洞自动化检测平台建设前言:本文是<移动APP客户端安全笔记>系列原创文章中的第一篇,主要讲的是企业移动APP自动化漏洞检测平台建设,移动APP漏洞检测发展史与前沿技术,APP漏洞检测工具与平台,以及笔者的一些思考.希望能对移动App自动化漏洞检测感兴趣的同学有所帮助,限于笔者技术水平与文章篇幅,有些内容暂没有逐一详细分析,后续我争取多学习多分享,在此也欢迎大家指点和交流. 一.国内Android App漏洞检测发展简史 1.1石器时代 (2007-2011) 2007年11年…

安全基线自动化扫描、生成报告、加固的实现（以Tomcat为例）

一.背景说明当前在服务上线前,安全部门都会对服务基线配置进行把关,整个流程可以分为扫描.生成报告.修复三步. 在执行这一流程时当前普遍的做法是半自动化的,扫描和生成报告是自动化的,执行扫描.执行生成报告和修复都是手动的. 这里我们要讲的,一是扫描脚本和生成报告脚本实现,二是执行扫描.执行生成报告和修复自动化实现. 二.项目说明 2.1 检测项 1. 删除示例文档删除webapps/docs.examples.manager.ROOT.host-manager 禁用tomcat默认帐号如下所…

国内APP漏洞扫描收费情况调查

概述上一次分享了应用加固的评测后,很多人想看看漏洞扫描相关的对比数据.其实在选择市面上这些移动安全类的产品时,经常为各种复杂的数据而感到疑惑,不知道怎么来评判各自的性能以及价格,从而选择出一款性价比高的安全产品.那么这一篇文章我就先来比较一下市场中现有产品的服务和收费情况. 国内app漏洞扫描平台,以及它们的收费状况,大致可以将其分成3类: 第一类:漏洞扫描收费平台代表:百度开放云平台(9.9元一次).阿里云移动安全(专业版可包年或按次收费) 第二类:漏洞扫描免费,通过漏洞扫描推其他服务代…

APP漏洞扫描器之本地拒绝服务检测详解

APP漏洞扫描器之本地拒绝服务检测详解阿里聚安全的Android应用漏洞扫描器有一个检测项是本地拒绝服务漏洞的检测,采用的是静态分析加动态模糊测试的方法来检测,检测结果准确全面.本文将讲一下应用漏洞扫描器在针对本地拒绝服务的检测方法. 一.本地拒绝服务产生原因和影响 Android应用使用Intent机制在组件之间传递数据,如果应用在使用getIntent(),getAction(),Intent.getXXXExtra()获取到空数据.异常或者畸形数据时没有进行异常捕获,应用就会发生Cras…

APP漏洞扫描用地址空间随机化

APP漏洞扫描用地址空间随机化前言我们在前文<APP漏洞扫描器之本地拒绝服务检测详解>了解到阿里聚安全漏洞扫描器有一项静态分析加动态模糊测试的方法来检测的功能,并详细的介绍了它在针对本地拒绝服务的检测方法. 同时,阿里聚漏洞扫描器有一个检测项叫未使用地址空间随机化技术, 该检测项会分析APP中包含的ELF文件判断它们是否使用了该项技术.如果APP中存在该项漏洞则会降低缓冲区溢出攻击的门槛. 本文主要介绍该项技术的原理和扫描器的检测方法.由于PIE的实现细节较复杂,本文只是介绍了大致的原理.…

APP漏洞扫描用地址空间随机化【转】

转自:http://www.cnblogs.com/alisecurity/p/6141575.html 前言我们在前文<APP漏洞扫描器之本地拒绝服务检测详解>了解到阿里聚安全漏洞扫描器有一项静态分析加动态模糊测试的方法来检测的功能,并详细的介绍了它在针对本地拒绝服务的检测方法. 同时,阿里聚漏洞扫描器有一个检测项叫未使用地址空间随机化技术, 该检测项会分析APP中包含的ELF文件判断它们是否使用了该项技术.如果APP中存在该项漏洞则会降低缓冲区溢出攻击的门槛. 本文主要介绍该项技术的原理…

APP漏洞导致移动支付隐患重重，未来之路怎样走？

没有一种支付是100%安全的,互联网及移动支付规模的增长,其交易的安全性须要银行.支付公司.App开发人员.用户等參与各方更加重视.当下手机支付似乎变成了一种时尚,用户们"刷手机"乘地铁,"刷手机"购物,"刷手机"喝咖啡,"刷手机"看电影,甚至"刷手机"定机票--种种迹象表明手机支付已经迎来了一个快速发展期. 移动支付行业隐患重重,未来发展道路令人堪忧但随着移动支付业务金额的疯狂涨势,移动支付背后的隐患也…

移动APP漏洞趋势

个人总结,可能片面或不正确样本来自WooYun网站,截止15年12月19号,一共75650个漏洞: 一.Top10安全漏洞中,sql注入占1/3:可见如果你是sql注入方面的测试专家,web安全1/3的天下是你的二.从2010年到2015年12月,移动app安全问题总共1149个,设计缺陷/逻辑错误占大约30%,这些漏洞主要是在用户注册.口令重置.支付等设计中缺陷导致,往往都是严重问题.图里只是针对TOP问题的比例:sql注入问题在app里依然泛滥.注意那%6的拒绝服务问题,一般是Andro…

利用App漏洞获利2800多万元，企业该如何避免类似事件？

上个月,上海警方抓捕了一个利用网上银行漏洞非法获利的犯罪团伙,该团伙利用银行App漏洞非法获利2800多万元. 据悉,该团伙使用技术软件成倍放大定期存单金额,从而非法获利.理财邦的一篇文章分析了犯罪嫌疑人的手段:"犯罪嫌疑人马某利用了银行App中质押贷款业务的安全漏洞,借用他人存单办理了存单质押贷款." 从这里来看,银行的漏洞应该是两方面,一方面是储户的账户信息被泄露了,另一方面则是业务上的漏洞,即质押贷款上让犯罪嫌疑人钻了空子,得以利用泄露的储户信息套现. 后续的报道印证了这个判断,…

XSS漏洞自动化攻击工具XSSer

XSS漏洞自动化攻击工具XSSer XSS是Web应用常见的漏洞.利用该漏洞,安全人员在网站注入恶意脚本,控制用户浏览器,并发起其他渗透操作.XSSer是Kali Linux提供的一款自动化XSS攻击框架.该工具可以同时探测多个网址.如果发现XSS漏洞,可以生成报告,并直接进行利用,如建立反向连接.为了提供攻击效率,该工具支持各种规避措施,如判断XSS过滤器.规避特定的防火墙.编码规避.同时,该工具提供丰富的选项,供用户自定义攻击,如指定攻击载荷.设置漏洞利用代码等.…

【阿里聚安全技术公开课】移动APP漏洞风险与解决方案

阿里云·云栖社区携手阿里聚安全打造阿里安全技术公开课,带你一探互联网安全的风采关于移动APP安全移动App是大家使用手机每天接触最多的东西,然而在移动APP开发中,由于一些开发工程师对安全的不重视,导致APP中出现漏洞风险,比如App被逆向.重打包,数据在存储或传输过程中泄露,系统漏洞被利用,逻辑漏洞被绕过等等,本课程,阿里安全专家阿刻为你解读移动App安全那些事. 讲师:阿刻阿里聚安全无线技术专家课程简介本课程主要介绍移动APP漏洞风险的现状,比如APP破解.盗版.重打包,一些APP…

（转）FIKKER和Nginx的反向代理服务功能对比评测报告

转自:http://tieba.baidu.com/p/1268737304 针对高并发反向代理服务器 NGINX和FIKKER评测报告测试硬件环境:服务端:CPU:E5200硬盘:SATA 133内存:2G客户端:CPU:E5200硬盘:SATA 133内存:2G 测试软件环境:服务端操作系统:WINDOWS 2003客户端测试软件:Apache Bench 测试说明:1 因为在NGINX的WINDOWS版本始终无法启用GZIP模块(而FIKKER默认启用GZIP压缩),为了测试的公正性,我…

蓝牙App漏洞系列分析之一CVE-2017-0601

蓝牙App漏洞系列分析之一CVE-2017-0601 0x01 概要 2017年5月的 Android 安全公告修复了我们提交的一个蓝牙提权中危漏洞,这个漏洞尽管简单,但比较有意思,能够使本地恶意 App 绕过用户交互,使用户强制接收外部传入的蓝牙文件.漏洞概要如下: CVE: CVE-2017-0601 BugID: A-35258579 严重性: 中影响的 Google 设备: All Updated AOSP versions: 7.0, 7.1.1, 7.1.2 0x02 漏洞分析蓝…

蓝牙App漏洞系列分析之二CVE-2017-0639

蓝牙App漏洞系列分析之二CVE-2017-0639 0x01 漏洞简介 Android本月的安全公告,修复了我们发现的另一个蓝牙App信息泄露漏洞,该漏洞允许攻击者获取 bluetooth用户所拥有的私有文件,绕过了将应用数据与其他应用隔离的操作系统防护功能. 漏洞信息如下: CVE: CVE-2017-0639 BugID: A-35310991 严重性: 高危漏洞类型: 信息泄露 Updated AOSP versions: 4.4.4, 5.0.2, 5.1.1, 6.0, 6.0.1…

蓝牙App漏洞系列分析之三CVE-2017-0645

蓝牙App漏洞系列分析之三CVE-2017-0645 0x01 漏洞简介 Android 6月的安全公告,同时还修复了我们发现的一个蓝牙 App 提权中危漏洞,该漏洞允许手机本地无权限的恶意程序构造一个仿冒的 Provider ,并获取 Provider 所指向文件的读写权限,可用于写 SD 卡或者蓝牙共享数据库,漏洞详情如下: CVE: CVE-2017-0645 BugID: A-35310991 严重性: 中危漏洞类型: 提权 Updated AOSP versions: 6.0.1,…

Android App性能自动化评测方法

前言 App运行在设备上的性能表现也是质量保障的一个重要环节.因此,当我们确保了基本功能的准确之后,还需要有一定的方法评测App在不同设备上的性能表现.本文将从性能指标,评测方法,自动化体系建设等三个方面,介绍Android App的性能测试方法. 性能指标传统Android App的性能测试都是通过测试工具获取App运行过程中的各项指标数据,然后取平均值,最大值,最小值等统计值作为结果分析.主要采集的指标有: CPU,CPU使用率过高,会使整个手机无法响应用户,整体性能降低,影响用户体验,也…

自动化扫描src漏洞

首先介绍一下常见的漏洞类型: 漏洞自动扫描思路: 常见的一些github上常用的漏洞采集工具,我们可以利用一款工具进行接口调用直接进行利用自动化工具的雏形:…

基于python的App UI自动化环境搭建

Android端Ui 自动化环境搭建一,安装JDK.SDK 二,添加环境变量 Widows:1.系统变量→新建 JAVA_HOME 变量E:\Java\jdk1.7.0 jdk安装目录 2.系统变量→寻找 Path 变量→编辑在变量值最后输入 %JAVA_HOME%\bin;%JAVA_HOME%\jre\bin;添加SDK路径下的tools文件夹与platform_tools文件夹 3.系统变量→新建 CLASSPATH 变量变量值填写 .;%JAVA_HOME%\lib;%JAVA_HOM…

APP漏洞之WebView File域同源策略绕过漏洞

i春秋作家:MAX丶基本知识Android架构 Kernel内核层漏洞危害极大,通用性强驱动由于多而杂,也可能存在不少漏洞 Libaries系统运行库层系统中间件形式提供的运行库包括libc.WebKit.SQLite等等 AndroidRunTime Dalvik虚拟机和内核库 FrameWork应用框架层提供一系列的服务和API的接口活动管理器内容提供器视图资源管理器通知管理器 Application应用层系统应用主屏幕Home.联系人Contact.电话Phone…

APP测试--测试日报和上线报告

1 测试日报包含: 1 对当前测试版本质量进行分级 2 对较严重的问题进行举例,提示开发人员优先修改 3 对版本的整体情况进行评估 2 上线报告: 1 对当前版本质量进行分级 2 附上测试报告(功能测试报告,兼容性测试报告,性能测试报告及app可用性标准结果) 3 总结上线版本的基本情况,若有遗留问题必须列出并记录解决方案. 我认为这2个,其实最重要的,还是列出问题.问题的数量,问题的级别,问题的比重.…

【app】自动化必备之adb使用

1.1 Adb介绍 adb(android debug bridge)是android sdk自带的一个工具 Adb是用来连接android设备和PC端的桥梁,通过adb工具,用户可以在PC端对手机进行全面的操作 Android的初衷是用adb这样的一个工具来协助开发人员在开发android应用的过程中更快更好的调试apk,因此adb具有安装卸载apk.拷贝推送文件.查看设备硬件信息.查看应用程序占用资源.在设备执行shell命令等功能 adb可以跨平台,也就意味着在不仅在windows,在ma…

【app】自动化环境搭建（Appium）for java

Appium来做app自动化相信大家都很熟悉了吧,就不再赘述他的概念和作用了,我们接下来着重介绍怎么来搭建整个app自动化环境,整个环境包括如下几个步骤: 1.安装jdk和eclipse及配置jdk的环境变量(这个略过,网上很多相关教程) 2.配置android SDK环境 3.下载安装Appium 4.安装模拟器(如果有android手机可以跳过此步) 一配置android SDK环境 SDK(software development kit),软件开发套件:一般是一些被软件工程师用于特定软…

桌面输入法评测报告之搜狗拼音输入法vs必应拼音输入法

输入法是电脑用户不可或缺的软件,它几乎无时无刻不陪伴在使用者的身旁.一个优秀的输入法,应该满足客户对使用体验以及效率的需求.我们小队的任务便是对当今最为常用的两种输入法: 搜狗拼音输入法和必应拼音输入法进行全方位的评测,看看它们能否满足用户的需求,分析它们的长处与不足. 我们评测的主要方法,是自己作为用户,亲自体验两款产品的功能. 概览: 一.核心功能评测(60,括号内为该项分数) 1.词库(20) 2.效率(40) (a)即时性(10) (b)中英文混合输入\英文输入(10) (c)语境中的词…