移动APP安全与SDL

1. 移动 APP 安全与 SDL 张清
2. 个人介绍 张清,信息安全工程师,主要专注于 Android 安全以及账号风控。擅长 Android 逆向, Fuzz, 支付安全,病毒木马分析等,曾经在前瞻信息安全会议上做过主题演 讲,在 2016 年全年获得过多家 Src 的全年白帽子漏洞挖掘排名第一名。
3. 内容概览 一、 SDL 是什么 二、安卓应 用常 应应应 应 安全 应 应 应 \ 案例 \ 修复 三、安全开应 建 应应 感风情 知控报
4. SDL 感风情 知控报
5. SDL 核心思想 项目原则:让开发中犯过的安全错误不再犯,从源头解决安全问 题。 安全场景描叙 安全场景细节 安全风险评级 安全事故案例 危险代码示例 安全测试实施方法 安全加固实施建议 感风情 知控报
6. 安全事故 风情 控报
7. 常见安全问题 \ 案例 \ 修复 四大组件相关 数据安全通信 盗版、破解 信息泄露 插件安全?? 默认?置安全 ? ? ? 通用性防护方案 风情 控报
8. 四大组件相关 Activity • • • • 越权 钓鱼 敏感信息泄露 拒绝服务 Service • • • • 权限提升 劫持 消息?造 ? 拒绝服务 Broadcast Receiver Content Provider • 敏感信息泄露 • 信息泄露 • 权限绕过 • Sql 注入 • 拒绝服务 • 目录遍历 感风情 知控报
9. 钓鱼 感风情 知控报
10. Sql 注入 感风情 知控报
11. 权限提升 感风情 知控报
12. 消息伪造 感风情 知控报
13. 拒绝服务 感风情 知控报
14. 数据安全通信 HTTPS 通信安全 白名单绕过 同源协议绕过 自升级漏洞 Socket 远程连接 Android WebView 安全 感风情 知控报
15. HTTPS 通信安全 许多应用会通过网络传输一些敏感数据,像银行、电商类应用中敏感数据的安全 传输更是尤为重要。 在 Android 中使用 SSL/TLS 协议,通过校验服务器端证书来实现安全通信。 ( 这 里指 应 向 应 SSL 校验,与之对应的是双向 SSL 校验,双向 SSL 指的是同时校验客户 端和服务端证书 ) 。开发者可以自由实现 SSL 通信,然而很多开发者不能恰当的使 用 SSL 协议,导致用户的敏感数据在传输过程中泄露。 在各大漏洞平台上,有大量存在 HTTPS 证书不校验漏洞,例如国内绝大部分 Android APP 存在信任所有证书漏洞、亚马逊最新官方 Android 版存在一处信任所有证书漏 洞、 Yahoo 雅虎在国内访问遭遇 SSL 中间人攻击、携程旅游网最新 Android 客户端 https 未校验证书导致 https 通信内容完全被捕获。 感风情 知控报
16. HTTPS 通信安全 HTTPS 忽略 SSL 证书校验 忽略域名校验 证书颁发机构 (Certification Authority) 被攻击导致私钥泄露等 感风情 知控报
17. HTTPS 通信安全 感风情 知控报
18. HTTPS 通信安全
19. HTTPS 通信安全 感风情 知控报
20. 白名单绕过  1、http://192.168.0.11\.163.com/2.html 这个 URL 使用 getHost 得到的域名是 192.168.0.11 \.163.com  2 、 URL 任意跳转 感风情 知控报
21. Socket 远程连接
22. 自升级漏洞
23. Webview 安全问题 感风情 知控报
24. 盗版破解
25. 信息泄露  LogCat 输出敏感信息  敏感数据明文存储于 Sdcard  数据库敏感数据明文存储  Shared Preference 全局可读写  敏感信息硬编码  HTTP 敏感信息明文传输
26. 信息泄露
27. 插件安全
28. 默认应应 置安全 应应
29. 通用性安全解决方案 组件 不导出 外来数据检查、功能身份检查 防止中间人攻击 通信 加密 最小权限 数据 加密、服应 器端校 加密、服务器端校验 应 应应应 资源保护 资源 加壳、反调试、反破解
30. 安全开发建议  维护 SDL 安全开发文档,以及持续的内部安全开发培训  维护自己产品的安全漏洞库  自测工具  惩罚机制,责任到人
31. Thanks!