移动应用安全测试概述移动应用安全测试是确保移动应用安全性的重要环节。本技能提供移动应用安全测试的方法、工具和最佳实践，涵盖Android和iOS平台。测试范围 1. 应用安全检查项目：代码混淆反编译防护调试防护证书绑定 2. 数据安全检查项目：数据加密密钥管理敏感数据存储数据传输 3. 认证授权检查项目：认证机制 Token管理生物识别会话管理 4. 通信安全检查项目： TLS/SSL配置证书验证 API安全中间人攻击防护 Android安全测试静态分析使用APKTool：

反编译APK

apktool d app.apk

查看AndroidManifest.xml

cat app/AndroidManifest.xml

查看Smali代码

find app/smali -name "*.smali" 使用Jadx：

反编译APK

jadx -d output app.apk

查看Java源码

find output -name "*.java" 使用MobSF：

启动MobSF

docker run -it -p 8000 :8000 opensecurity/mobsf

上传APK进行分析

访问 http://localhost:8000

动态分析使用Frida： // Hook函数 Java . perform ( function ( ) { var MainActivity = Java . use ( "com.example.MainActivity" ) ; MainActivity . onCreate . implementation = function ( savedInstanceState ) { console . log ( "[*] onCreate called" ) ; this . onCreate ( savedInstanceState ) ; } ; } ) ; 使用Objection：

启动Objection

objection -g com.example.app explore

Hook函数

android hooking watch class_method com.example.MainActivity.onCreate 使用Burp Suite：

配置代理

Android设置代理指向Burp Suite

安装Burp证书

常见漏洞硬编码密钥： // 不安全的代码 String apiKey = "1234567890abcdef" ; String password = "admin123" ; 不安全的存储： // SharedPreferences存储敏感数据 SharedPreferences prefs = getSharedPreferences ( "data" , MODE_WORLD_READABLE ) ; prefs . edit ( ) . putString ( "password" , password ) . apply ( ) ; 证书验证绕过： // 不验证证书 TrustManager [ ] trustAllCerts = new TrustManager [ ] { new X509TrustManager ( ) { public X509Certificate [ ] getAcceptedIssuers ( ) { return null ; } public void checkClientTrusted ( X509Certificate [ ] certs , String authType ) { } public void checkServerTrusted ( X509Certificate [ ] certs , String authType ) { } } } ; iOS安全测试静态分析使用class-dump：

导出头文件

class-dump app.ipa

查看头文件

find app -name "*.h" 使用Hopper：

使用Hopper反汇编

打开app二进制文件

分析汇编代码

使用otool：

查看Mach-O信息

otool -L app

查看字符串

strings app | grep -i "password|key|secret" 动态分析使用Frida： // Hook Objective-C方法 var className = ObjC . classes . ViewController ; var method = className [ '- login:password:' ] ; Interceptor . attach ( method . implementation , { onEnter : function ( args ) { console . log ( "[*] Login called" ) ; console . log ( "Username: " + ObjC . Object ( args [ 2 ] ) . toString ( ) ) ; console . log ( "Password: " + ObjC . Object ( args [ 3 ] ) . toString ( ) ) ; } } ) ; 使用Cycript：

附加到进程

cycript -p app

执行命令

[ UIApplication sharedApplication ] 常见漏洞硬编码密钥： // 不安全的代码 NSString apiKey = @"1234567890abcdef"; NSString password = @"admin123"; 不安全的存储： // Keychain存储不当 NSUserDefaults defaults = [NSUserDefaults standardUserDefaults]; [defaults setObject:password forKey:@"password"]; 证书验证绕过： // 不验证证书 - (void)connection:(NSURLConnection )connection didReceiveAuthenticationChallenge:(NSURLAuthenticationChallenge *)challenge { [challenge.sender useCredential:[NSURLCredential credentialForTrust:challenge.protectionSpace.serverTrust] forAuthenticationChallenge:challenge]; } 工具使用 MobSF

启动MobSF

docker run -it -p 8000 :8000 opensecurity/mobsf

上传应用进行分析

支持Android和iOS

Frida

安装Frida

pip install frida-tools

运行脚本

frida -U -f com.example.app -l script.js Objection

安装Objection

pip install objection

启动Objection

objection -g com.example.app explore Burp Suite 配置代理：配置Burp Suite监听器移动设备设置代理安装Burp证书拦截和分析流量测试清单应用安全代码混淆检查反编译防护调试防护证书绑定数据安全数据加密检查密钥管理敏感数据存储数据传输安全认证授权认证机制测试 Token管理会话管理生物识别通信安全 TLS/SSL配置证书验证 API安全测试中间人攻击防护常见安全问题 1. 硬编码密钥问题： API密钥硬编码密码硬编码加密密钥硬编码修复：使用密钥管理服务使用环境变量使用安全存储 2. 不安全的存储问题：明文存储敏感数据使用不安全的存储方式数据未加密修复：使用加密存储使用Keychain/Keystore 实施数据加密 3. 证书验证绕过问题：不验证SSL证书接受自签名证书证书固定未实施修复：实施证书固定验证证书链使用系统证书存储 4. 调试信息泄露问题：日志包含敏感信息错误信息泄露调试模式未禁用修复：移除调试代码限制日志输出生产环境禁用调试最佳实践 1. 代码安全实施代码混淆禁用调试功能实施反调试保护使用证书绑定 2. 数据安全加密敏感数据使用安全存储实施密钥管理限制数据访问 3. 通信安全使用TLS/SSL 实施证书固定验证服务器证书使用安全API 4. 认证安全实施强认证安全Token管理实施会话管理使用生物识别注意事项仅在授权环境中进行测试遵守法律法规注意不同平台的差异保护用户隐私