学生项目汇报 移动学习系统安全风险防范报告

移动学习系统安全风险防范报告2022年10月阮梓墨小组人员分工程晨——负责前期寻找材料李雯雯——负责外联（采访和查阅资料）何雨轩——负责总结报告文字版阮梓墨——负责后期整理、形成报告小组讨论采访同学目录02.安全风险分析03.防范对策01.引言04.结束语1.引言随着技术的发展，移动学习逐步走进我们的学习生活。特别是2020年疫情开始后，移动学习能够让我们实现随时随地的学习，更具需求实现学生个性化的学习，也能保证居家时学习的有效性。老师向我们介绍微信小管家，钉钉非常实用，在平时多次尝试使用。移动学习是一种在移动设备帮助下的能够在任何时间、任何地点发生的学习，移动学习所使用的移动计算设备必须能够有效地呈现学习内容并且提供教师与学习者之间的双向交流。2.安全风险分析主要为移动终端插入广告面临的风险，包括App反编译、App二次打包、组件导出、WebView漏洞、键盘安盗版应用插入病毒后台偷跑流量全、屏幕截屏、数据安全、界面劫持、数据客户插入恶意代码修改App功能备份、Debug调试等。移动终端操作系统应的漏洞缺陷众多，导致安卓(Andriod)、钓鱼应用窃取用户敏感信息IOS等主流操作系统会经常更新，而移动风险攻击通过App漏洞攻击后台,一般无法及时修改更新，经常出现服务器安全漏洞。同时，移动终端属于个人，在浏览网页下载应用的过程中，可能不知不觉就安装了盗版应用或者钓鱼应用，被插入了各种广告甚至病毒木马，这些软件都是在后台进行数据信息的窃取窃听，用户毫不知情。（1）客户端安全风险2.安全风险分析主要为智能手机客户端与服务器端交互所面临的风险，包括数据安全性缺乏保密性、中间人攻击、数据包可被篡改及重放等。一般使用手机App应用时，用户习惯设置自动登录，这样一旦手机被他人使用或者丢失等情况发生时，就有可能造成数据或机密信息泄露。目前虽然很多App使用了https通信方式，但是只是对通信信道进行了加密，虽然可以防止监听数据的风险，但是没有对SSL证书的有效性做验证，无法防止中间人拦截代理方式，通过中间人攻击劫持，可以让采用https通信的数据暴露无遗，从而轻易获取手机用户的明文通信信息。（2）通信过程安全风险2.安全风险分析主要来自传统业务系统架构面临的安全风险，主要有来自Web层面安全风险、数据库层面安全风险、安全策略风险、系统层安全风险等。无论是移动互联网系统还是传统业务系统，大多采用Web方式向客户端提供服务，Web应用安全漏洞层出不穷，例如XSS跨站脚本攻击漏洞、SQLInject注入漏洞、恶意代码上传漏洞、Cookie注入漏洞等。大部分移动应用系统往往架设在Linux或者Windows操作系统上，采用WebSphere、Tomcat、Apache等中间件和Oracle、SQLServer等数据库，赖以运转的基础软件可能不时爆出一些系统漏洞，而每个漏洞都可能被攻击者所利用，造成账号失窃或数据篡改、数据泄露等。同时，应用设置的安全策略以及服务器设置的安全策略的不合适，都有可能造成安全风险。（3）服务端安全风险3.防范对策（1）客户端防护部分检查方法：可以先利用反编译工具和二次打包工具对App进行反编译和二次打包，查看是否成功。采用工具检测组件是否存在导出风险。检查addJavascriptInterface接口、searchBox-JavaBridge_对象等，检查是否存在WebView漏洞。通过观察App在输入密码的地方是否会弹出自定义的软键盘。通过连续截图，查看是否可以捕捉到密码输入框的密码。查看AndroidManifest.xml文件中是否有allowBackup，如果没有则allowBackup属性值，默认allowBackup值为True，则默认为可以备份应用数据，存在安全风险。建议修复方法：采用加密和混淆技术达到反编译保护。获取二次打包后APK的签名与正确的APK签名做对比，判断APK程序是否进行过二次打包。开发自定义软键盘而不是使用系统软件盘以防止键盘劫持。建议客户端针对第三方或系统截屏编写抵抗逻辑。删除不必要的接口和对象。把AndroidManifest.xml文件中allowBackup属性值设置为false.软件防护的攻与防一直都不对等的，攻击者只需要找到薄弱的点即可，而防御者则需要做全面的防护，尽量做到不存在防御短板。加上AndroidApp开源特性，以及各种成熟的反编译工具，即使软件开发人员对App进行了混淆和加密，还是会被逆向出代码逻辑和跳转，有了这些信息即使因为混淆代码无法拿到完整的源代码，但还是可以被黑客破解实现攻击诉求。目前市面上较成熟的客户端防护方案为通过代码加壳来实现对App源代码高强度的保护。App加壳技术经历了多次技术迭代，从最早的静态加密壳，到后来的动态保护壳，目前最先进且脱壳难度最高的是虚拟化执行壳。3.防范对策（2）通信过程防护

部分检查方法：通过抓包工具（例如burpsuite、fiddler)抓取通信信息，看是否进行加密通信。通过抓包看手机端程序是否运行正常，如果通过代理方式抓包，手机App自动强制退出，说明手机App有做证书校验。测试客户端访问的URL是否仅能由手机客户端访问，利用截包工具获取URL，能用浏览器打开该URL。建议修复方法：使用https进行加密通信。采用证书强校验或弱校验，强校验就是在手机端先预埋好服务端的证书，当手机端与服务端通信时获取证书，并且与手机本地预埋的服务端证书作对比，一旦不一致，则认为遭到了中间人劫持攻击，自动断开与服务端的通信；弱校验则是在手机端校验证书的域名和手机真实访问的域名是否一致、证书颁发机构等信息。建议服务器进行相应的访问控制，控制对应页面仅能通过手机客户端访问。同时进行页面访问控制，防止绕过登陆直接访问页面的非法访问。3.防范对策（3）服务端防护

部分检查方法：利用工具或人工，对Web应用进行SQL注入、跨站脚本、上传漏洞、数据库泄露、弱口令、网页挂马等各种已知漏洞进行检测和验证。审查主机安全，查看审计日志等。查看应用是否设置正确的安全策略，如：是否可以设置弱密码、验证码是否检测使用次数、会话超时时间设置是否合理、安全退出机制是否合理等。建议修复方法：对存在的Web漏洞进行源代码的相应修复，针对主机及时打补丁，及时的调整WFA和IPS防护设备策略，应用程序设置相应的安全策略，如强制使用强密码、验证码一次有效、会话设置合理超时时间、用户退出后及时清除服务器上的sessi