移动APP安全与SDL安全_第1页
移动APP安全与SDL安全_第2页
移动APP安全与SDL安全_第3页
移动APP安全与SDL安全_第4页
移动APP安全与SDL安全_第5页
已阅读5页，还剩25页未读， 继续免费阅读

下载本文档

版权说明：本文档由用户提供并上传，收益归属内容提供方，若内容存在侵权，请进行举报或认领

文档简介

移动APP安全与SDL感知情报风控

内容概览一、SDL是什么二、安卓应用常见安全问题\案例\修复三、安全开发建议感知情报风控

SDLSDL核心思想情报风控感知项目原则：让开发中犯过的安全错误不再犯，从源头解决安全问题。安全场景描叙安全场景细节安全风险评级安全事故案例危险代码示例安全测试实施方法安全加固实施建议安全事故情报风控常见安全问题\案例\修复情报风控数据安全通信盗版、破解信息泄露插件安全问题四大组件相关默认设置安全通用性防护方案四大组件相关情报风控感知Activity越权钓鱼敏感信息泄露拒绝服务Service权限提升劫持消息伪造拒绝服务BroadcastReceiver敏感信息泄露权限绕过拒绝服务ContentProvider信息泄露Sql注入目录遍历钓鱼情报风控感知Sql注入情报风控感知权限提升情报风控感知消息伪造情报风控感知拒绝服务情报风控感知数据安全通信情报风控感知HTTPS通信安全白名单绕过同源协议绕过自升级漏洞Socket远程连接AndroidWebView安全HTTPS通信安全情报风控感知

许多应用会通过网络传输一些敏感数据，像银行、电商类应用中敏感数据的安全传输更是尤为重要。

在Android中使用SSL/TLS协议，通过校验服务器端证书来实现安全通信。(这里指单向SSL校验，与之对应的是双向SSL校验，双向SSL指的是同时校验客户端和服务端证书)。开发者可以自由实现SSL通信，然而很多开发者不能恰当的使用SSL协议，导致用户的敏感数据在传输过程中泄露。

在各大漏洞平台上，有大量存在HTTPS证书不校验漏洞，例如国内绝大部分AndroidAPP存在信任所有证书漏洞、亚马逊最新官方Android版存在一处信任所有证书漏洞、Yahoo雅虎在国内访问遭遇SSL中间人攻击、携程旅游网最新Android客户端https未校验证书导致https通信内容完全被捕获。HTTPS通信安全情报风控感知HTTPS忽略SSL证书校验忽略域名校验证书颁发机构(CertificationAuthority)被攻击导致私钥泄露等HTTPS通信安全情报风控感知HTTPS通信安全HTTPS通信安全情报风控感知白名单绕过情报风控感知1、1\.163.com/2.html

这个URL使用getHost得到的域名是1\.163.com2、URL任意跳转Socket远程连接自升级漏洞情报风控Webview安全问题感知盗版破解信息泄露LogCat输出敏感信息敏感数据明文存储于Sdcard数据库敏感数据明文存储SharedPreference全局可读写敏感信息硬编码HTTP敏感信息明文传输信息泄露插件安全默认设置安全通用性安全解决方案组件通信数据不导出防止中间人攻击外来数据检查、功能身份检查加密、服务器端校验加密最小权限资源资源保护加壳、反调试、反

人人文库> 全部分类> 专业文献 > IT计算机

温馨提示

  • 1. 本站所有资源如无特殊说明，都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等，如果需要附件，请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸，网页内容里面会有图纸预览，若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间，仅对用户上传内容的表现方式做保护处理，对用户上传分享的文档内容本身不做任何修改或编辑，并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容，请与我们联系，我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

最新文档

评论

0/150

提交评论