首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >APP漏洞自动化扫描专业评测报告(上篇)

APP漏洞自动化扫描专业评测报告(上篇)

作者头像
FB客服
发布2018-02-08 14:37:34
2.7K0
发布2018-02-08 14:37:34
举报
文章被收录于专栏:FreeBufFreeBuf

*本文原创作者:Sunnieli,本文属FreeBuf原创奖励计划,未经许可禁止转载

一、前言

随着Android操作系统的快速发展,运行于Android之上的APP如雨后春笋般涌现。由于一些APP的开发者只注重APP业务功能的实现,对APP可能出现安全问题不够重视,使得APP存在较多的安全隐患。 国内一些安全厂商为这些开发者提供了各种各样的安全服务,包括APP的加固、安全漏洞分析等。

目前在业界有很多自动化检测APP安全性的在线扫描平台。为了了解目前国内移动APP在线漏洞扫描平台的发展情况,我进行了一次移动安全扫描平台的评测分析;主要从漏洞项对比、扫描能力对比以及扫描结果这三个方向来对比。

希望此次的调研结果可以为读者提供更加可靠的安全漏洞扫描服务建议。

二、分析对象

这一章主要介绍需要对比的扫描平台和需要测试的APP样本。

2.1 对比平台

扫描平台

网址

阿里聚安全漏洞扫描

http://jaq.alibaba.com/

360APP漏洞扫描

http://dev.360.cn/mod/vulscan

腾讯金刚审计系统

http://service.security.tencent.com/kingkong

百度移动云测试中心

http://mtc.baidu.com/startTest/safe

AppRisk Scanner

https://apprisk.newskysecurity.com

爱加密

http://www.ijiami.cn/

梆梆加固

https://www.bangcle.com/

AppTest掌测

http://www.appstest.cn/

TestIn测试平台

www.testin.cn/

腾讯优测

http://utest.qq.com/

爱内测

http://www.ineice.com/

AppScan

http://www-03.ibm.com/software/products/zh/appscan-mobile-analyzer

Fortify SCA

http://www8.hp.com/us/en/software-solutions/application-security/

对上述扫描平台,我都上传APP进行了测试,简单比较它们的扫描结果。

最后,综合检测结果、它们在漏洞扫描领域的知名度以及它们的用户数量,我选取表中前五个扫描平台,即阿里聚安全、360APP漏洞扫描、金刚、百度和AppRisk进行详细的对比分析;由于金刚和优测都是腾讯旗下的产品,所以我选择了专注于APP审计的金刚审计系统。

爱加密扫描速度很快,但整个漏洞扫描就是为其加密模块做铺垫,扫描项非常简单,没有实际的漏洞扫描,只是简单的字符串匹配,故扫描速度非常快。

梆梆加密扫描速度也比较快,扫描内容比爱加密要丰富,一共14项,包含了一些高危漏洞的扫描,如与WebView相关的一些漏洞等,但是其漏洞扫描模块也是为了给自己的加固服务做铺垫,所以没有选取这两家。

AppTest掌测测试成本太高,每次测试2999元起,所以没有对它进行详细分析。

腾讯优测的扫描结果与金刚非常相似,但没有金刚详细;有时候扫描结果只有漏洞概述,没有漏洞的详细信息,也没有修复建议。

爱内测的扫描结果非常简略,只判断是否存在漏洞,而不统计漏洞的个数以及漏洞位置。

AppScan和Fortify SCA是国外的扫描平台,分别属于IBM和惠普。我分析了它们的扫描结果,AppScan的免费版本检测结果没有多大的参考价值,重要的漏洞信息都没有显示,如果测试时间超过4个小时,则会中断扫描服务。

Fortify SCA的扫描侧重Web应用程序,虽然也可以扫描Android程序,但扫描结果以Web漏洞为主,差强人意,而且在免费试用15天后,每测试一个APP需要花费2000美元,所以我没有详细分析这两个平台。

以下简单统计了各个平台的收费情况,如下表:

扫描平台

是否收费

备注

阿里聚安全漏洞扫描

免费

完全免费

360APP漏洞扫描

免费

完全免费

腾讯金刚审计系统

免费

完全免费

百度移动云测试中心

9.9元/次

新用户可以获得一张9元代金券,只能用百度钱包支付剩余的0.9元

AppRisk Scanner

不详

普通账户可以测试2个app,随后可以通过可以通过邮件联系AppRisk升级账户

爱加密

免费

漏洞扫描主要为其加密服务做推广,扫描能力很差

梆梆加固

免费

漏洞扫描主要为其加密服务做推广,扫描能力较差

AppTest掌测

2999元/次

AppTest掌测还有其他测试服务,收费标准不同,安全测试是2999元/次

TestIn测试平台

2000元/次

安全扫描服务需要填写非常详细的申请表才有机会获得1次试用服务

腾讯优测

200元/次

新用户免费使用一次。通过U币的形式付款,1U币=1元

爱内测

免费

爱内测免费版主要为其定制化检测做广告

AppScan

混合

AppScan将用户分为免费账户和标准账户,免费账户的扫描结果简单;标准账户可以按次收费也可以按月收费

Fortify SCA

2000美元/个

新用户免费试用15天,超过15天后每测试一个APP需要2000美元,一年内可对同一个APP进行多次测试

2.2 测试样本

测试样本:

名称

版本

WiFi万能钥匙

4.0.9

墨迹天气

5.0916.02

新浪微博

6.7.0

测试app

手机百度

7.4

通过上传精心构造的包含各种漏洞的“测试APP”,测试它们的扫描能力,随后上传应用市场中下载量较大的应用程序进行实际测试。

由于受时间和资源的限制,并未大规模上传应用进行测试,也只是详细对比了WiFi万能钥匙的扫描结果。因此扫描结果有些许的片面性,但总体反映各个扫描平台的检测能力。

三、总体能力对比

3.1 扫描时间对比

以下列表各个扫描平台扫描时间的对比,金刚只能检测50M以内的APP,所以没有新浪微博的检测时间,而百度每检测一次收费9.9元,而且没有记录扫描时间;受限于时间和经费,没有再次检测APP以获取扫描时间,单位:分。

阿里聚安全

360

百度

金刚

Apkrisk

WiFi万能钥匙(5.38M)

6

458

1395

3

墨迹天气(14.9M)

16

1256

1577

4

手机百度(36.8M)

21

261

710

7

新浪微博(53.2M)

45

1112

8

补充一下,时间的获取是以扫描界面内对应APP给出的或者是以收到扫描结束通知为依据的。可以看出,阿里聚安全和AppRisk的扫描时间与APP的大小成正比,而360和金刚没有明显的规律。

当用户把APP投入阿里聚安全和AppRisk中扫描时,可以根据APP的大小预测大致的扫描时间;而投入到360和金刚时却无法预测大致的扫描时间。

3.2 漏洞项对比

360将许多类型相同的漏洞分成多个具体的漏洞,我将其合并一下(组件导出归为一类,文件读写归为一类,SQL注入归为一类)。

从具体漏洞个数对比表可以看出,五个产品相同的扫描项有9种,其中四个产品相同的扫描项有7种。总的来说,这五个产品基本覆盖了目前Android应用程序可能出现的所有漏洞。

总体覆盖量排名:阿里聚安全(35个)>360(30个)>百度(26个)>金刚(23个)>Apkrisk(20个)

3.3 扫描能力对比

最后我用自己编写的测试APP测试各个扫描平台的扫描能力。这些扫描能力主要分为静态检测能力和动态检测能力。

静态检测能力包括检测隐藏dex、过程间分析、正向分析、逆向分析;动态测试主要是指测试拒绝服务漏洞的能力,拒绝服务漏洞又可以划分为:空Intent引起的拒绝服务,强制类型转换引起的拒绝服务以及序列化对象导致的拒绝服务。

由于这些检测能力决定了扫描器扫描结果的精度和准度,因此我详细分析了各个扫描平台的扫描能力。

更多精彩内容点击阅读原文可见。由于内容太长,我将扫描能力和扫描结果单独作为下篇分享出来,敬请关注该专题在FreeBuf的下集连载。

*本文原创作者:Sunnieli,本文属FreeBuf原创奖励计划,未经许可禁止转载

本文参与 腾讯云自媒体分享计划,分享自微信公众号。
原始发表:2016-08-08,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 FreeBuf 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体分享计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
目录
  • 一、前言
  • 二、分析对象
  • 三、总体能力对比
    • 3.1 扫描时间对比
      • 3.2 漏洞项对比
        • 3.3 扫描能力对比
        相关产品与服务
        脆弱性检测服务
        脆弱性检测服务(Vulnerability detection Service,VDS)在理解客户实际需求的情况下,制定符合企业规模的漏洞扫描方案。通过漏洞扫描器对客户指定的计算机系统、网络组件、应用程序进行全面的漏洞检测服务,由腾讯云安全专家对扫描结果进行解读,为您提供专业的漏洞修复建议和指导服务,有效地降低企业资产安全风险。
        领券
        问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档