APP本地服务安全测试

一、安全测试基本分类:
1、系统安全
系统加固
安全加固:比如linux中关闭telnet端口,修改ssh端口
检测一些不必要的服务(需要卸载一个ping)--保证系统的最小集
app安全加固:加一层外壳
补丁
消息中间件:activityMQ,rabbitMQ,safMQ(关闭页面,非业务端口,默认用户)
防火墙规则(iptables)
防病毒
2、应用安全(安装包,服务,业务)----用户(人和服务)口令、敏感信息
(1)黑白名单(IP:port)----访问控制
(2)消息层面:数据加密和签名
(3)加密算法的安全性(对称、非对称)
3、管理安全
业务层面:面向普通用户
管理层面:管理节点创建虚拟机(对资源的管理,虚拟机创建成功后进行提供业务)
运营层面:对业务的处理
运维层面:针对管理员(线上,线下)
4、网络安全:关注数据传输安全(数据源头和目的),是否加密,检测数据的正确性和一致性(有无伪造)
(传输)----加密(hppts+ssl)
不是重点关注的:丢包后的处理 数据一致性(udp)
5、云安全测试
A用户--安全组A
B用户--安全组B
(1)将A进入B,或者将B加入A
(2)规则:a->b(ip/udp/icmp) b->a 单通 多通
 
安全:
1、硬件
防火墙,交换机
2、软件
 
二、app本地服务安全测试
问题1:app当前的现状,会遇到哪些安全类的问题
1、远程控制(木马)
2、恶意推广(付费)
3、外挂(程序的后门)
4、敏感、隐私信息被窃取
5、本地进程注入(四大组件没有权限控制)
6、钓鱼(盗版的应用)
 
账户安全
文件安全:文件权限的最小集,文件是否需要加密,脱敏处理(大数据的清洗)
 
支付安全:账户安全,日志安全(用户信息泄露),数据存储(加密存储),安全加密算法
 
进程安全:是否有状态资源监控,进程管理,脚本是否安全
文件存储:
app的四大组件安全(drozer工具)
activity:生命周期,服务的机制需要掌握
启动,恢复,停止,完成等各种状态的切换
service:
context provider:
broadcast:一对一,多对多
 
1、安装包安全
1.1安装包是否可以反编译
apk-->dex-->运行
反编译:dex->java->反编译(user/pwd/password等敏感信息)
编码:(1)用户敏感信息硬编码
(2)代码混淆
对于支持反射的语言,代码混淆有可能与反射发生冲突。
代码混淆并不能真正阻止反向工程,只能增大其难度
对于对安全性要求很高的场合,仅仅使用代码混淆并不能保证源代码的安全。
(3)代码扫描(fortify)
Fortify SCA 是一个静态的、白盒的软件源代码安全测试工具;
它通过内置的五大主要分析引擎:数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析,分析的过程中与它特有的软件安全漏洞规则集进行全面地匹配、查找,从而将源代码中存在的安全漏洞扫描出来,并给予整理报告。
1.2、安装包是否有签名
(1)发布前校验签名使用的key是否正确
(2)使用命令:jarsigner –verify –verbose –certs apk包路径
验证结果:jar已验证
1.3、安装包是否完整
包发布:
(1)发布平台下载安装包
(2)安装包完整性校验:一般采用md5校验方式,通过md5工具和md5密钥进行校验
例如app下载后进行完整性校验
1.4、安装包中申请的权限问题
认证机制:android--manifest.xml中看各个组件的权限
对APP申请的权限进行检查,在Android工程的AndroidManifest.xml文件中查询申请的权限,删除不必要的权限,例如用户定位/通讯录/信息等权限,保留APP可用权限即可
 
2、软盘劫持
(1)安全问题:
用户安装了第三方不可信的键盘输入法,当涉及到隐私或者金融 类操作时需要应用进行校验提示
(2)建议:
使用应内部提供的软键盘
定期对手机进行病毒扫描
 
3、账户安全(最重要)
账户分类:
用户账户(管理员,普通用户),
服务账户(多个服务之间的交互需要使用口令)
docker(各种服务,通信可能是通过消息组建、配置文件---ip/port/user/password)
硬件账户(硬件动态库)
 
(1)密码是否明文存储(数据库/配置文件)
(2)密码加密算法是否安全
(3)密码是否加密传输
(4)是否支持账号锁定策略---3次,第四次锁定
(5)是否支持多点登陆
(6)注销后不能访问(session、cookies是否删除)
(7)账户权限控制(纵向越权和横向越权)
纵向越权:一个低级别攻击者尝试访问高级别用户的资源
横向越权:攻击者尝试访问与他拥有相同权限的用户的资源;(不同部门或者不同公司之间)
(8)密码安全要求(长度、字符,数字)
 
4、文件安全
(1)文件权限
dwrx 0,0,0 读,写,执行
用户、本组、其他组
根据业务需要赋予文件最小权限
(2)文件内容
敏感信息(用户名、密码),加密的方法,加密的安全要求
包括对外提供的用户名和密码信息以及程序内部交互的认证信息:需要满足密码不能是明文,并且需要安全加密算法进行加密配置,密码长度和格式满足安全要求
 
文件上传和下载:
要不要脱敏处理(医院上传证件照)
传输过程中加密
完整性校验(hash值校验)
文件存储
 
5、日志安全
(1)业务日志----交易的流水号,交易的过程
(2)系统内部交互日志 a--->b---->c 记录整个交互过程
debug/interface/run/security
log.debug(message.toString())----打印所有的信息
(3)统计/审计日志---系统的入口记录每分钟接收的消息数
(4)重点考虑:敏感信息的存储(密码等)
(5)日志管理平台:收集各个系统中的日志
 
日志中不能打印密码信息;
日志中不能打印用户隐私信息;
需要有安全日志功能;
日志需要有清理机制;
日志不能随意删除。
 
日志安全的测试手段:
自己写脚本去扫描日志文件(user/pwd/password/userName/userpwd)
shell/python/search工具
 
6、进程安全
1、启动
(1)权限问题:win10经常遇到自己运行exe报没有权限
一般使用普通用户启动服务
linux:不能使用root用户启动服务
在start.sh中判断只能当前用户启动
(2)启动过程中数据问题(有时候进程启动的时候会生成一下临时文件,需要考虑临时文件中是否涉及安全信息)
启动过程中的临时文件需要删除
(3)启动完成后对外端口启动在业务网络上,对内端口启动在本地网络上
端口的启动机制
问题:当前端口有什么安全风险
0.0.0.0 全网监听,内网的会被外部网络访问到
2、运行
(1)运行过程中的缓存信息涉及隐私需要加密
(2)需要记录运行日志
(3)运行过程中需要有监控认证
运行监控:vcs/hacs----提供守护服务
(4)多进程之间的交互需要认证
3、停止
(1)清理临时文件
(2)安全断开相关连接
 
7、数据存储/文件存储安全
功能:数据完整性;数据备份;容错与冗余
AI--机器学习
(1)数据的重要性---机密性,完整性,防丢失
目的:保护机密数据;防止数据丢失;确保数据完整性
 
python爬虫:统计从10年到现在当前歌手的歌曲:
a:有多少唱季节,春,夏,秋,冬
b:多少唱城市的歌曲,成都,北京,上海.....
最终生成一个报表
(2).数据的介质(硬件)
介质:单个文件、数据库、文件服务器、缓存服务
数据库
功能:数据完整性
数据存储:加密存储
访问控制
监控机制(服务监控,数据监控)
备份恢复
(3)数据库安全
DCL DDL DML 数据库扫描--NGSSquirrel(全球公认的数据库扫描软件)/DatabaseScanner
 
代码安全:扫描(fortify)
posted @ 2017-12-15 11:52  emily-qin  Views(1360)  Comments(0Edit  收藏  举报