专栏首页FreeBuf移动APP安全行业报告金融篇

移动APP安全行业报告金融篇

移动 APP 安全行业现状与导读

移动 APP 已逐步渗透入我们的生活,据统计,2016年,APP 发行数量仅电商、金融、游戏这三大类共计高达2万左右,国内移动互联网活跃用户数已经突破10亿,移动互联网这样快速的推移,移动互联网的安全问题更为严峻,基于腾讯云乐固和腾讯平台的大数据分析, 整个移动应用开发者所面临的安全问题主要涉及面有终端漏洞威胁,应用重打包威胁,应用仿冒威胁。

本移动 APP 安全行业报告将对金融、电商、游戏三大重灾区行业进行举例分析并配以图表说明,还原移动 APP 安全行业本貌。本期来看金融篇。

金融行业App安全现状概述

据统计,2015年金融行业移动 APP 用户约为8亿,2016年用户约增长至10亿。

金融行业移动 APP 受漏洞影响如图所示

高危占比23%:数据传输不安全导致盗取用户钱财损害平台利益。

中危占比40%:用户敏感信息泄露,应用被重打包后加入恶意代码和广告。

低危占比37%:应用崩溃,APP主要逻辑被逆向。

支付安全问题位列金融行业移动 APP 安全问题之首。

安全问题种类繁多,但其究竟是如何给广大 APP 用户造成危害的,我们选取一枚案例共同深入分析。

案例说话

1 客户端与服务器传输安全

中间人攻击原理:中间人攻击主要发生在客户端与服务器通信过程中,黑客利用网络协议的漏洞,进行数据监听数据窃取以及数据篡改等违法行为。

正常通信过程如下所示 :

在android的https协议中,若自定义的X509TrustManager不校验证书或实现的自定义HostnameVerifier不校验域名接受任意域名,就会触发中间人攻击漏洞。

非正常通信过程如下图所示:

乐固团队分析发现大部分银行和理财类APP,都存在此漏洞。

某银行 APP 反编译代码截图

2 用户输入数据传输安全

用户手机如果 root过,病毒软件就可以通过监听系统键盘或第三方输入法等方式来获取用户输入的信息,并转发到不法分子手中。

著名漏洞平台上曾经曝光过著名输入法的输入漏洞。

某电商 APP 键盘记录漏洞

3 本地数据安全

安卓 Shared Preferences 本地存储方式是开发者常用的存储本地信息的方式,但在 root 过的手机上,黑客可以轻松查阅这些明文保存的信息。

而 android 自带的 SQLite 数据库,也是以明文的形式存储在本地文件中的。黑客同样可以在 root 过的手机中查看这些信息。

手机里存储的明文文件

解决方案

腾讯云乐固推出一套完善的移动金融安全解决方案。移动 APP 安全行业安全问题详细解决方案可点击链接:https://www.qcloud.com/product/cr

本文分享自微信公众号 - FreeBuf(freebuf),作者:云鼎实验室

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2017-02-23

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 初探Android逆向:通过游戏APP破解引发的安全思考

    如今移动互联网已经完全融入到我们的生活中,各类APP也是层出不穷,因此对于安卓APP安全的研究也尤为重要。本文通过对一款安卓APP的破解实例,来引出对于APP安...

    FB客服
  • 假面攻击(Masque Attack)详细分析与利用

    一、漏洞概述 近期在苹果iOS手机系统上曝光的两个漏洞,WireLurker和Masque Attack,影响了iOS目前到8.1.1 beta的最新版本,而且...

    FB客服
  • 序列化漏洞影响半数以上Android手机

    Stagefright漏洞爆出没多久,Android平台又爆出一重大漏洞,影响55%的手机。IBM的X-Force应用安全研究团队近日发现了这一漏洞。 攻击者可...

    FB客服
  • APP安全测试分越权,SQL,XSS漏洞 怎样进行检测?

    目前越来越多的APP遭受到黑客攻击,包括数据库被篡改,APP里的用户数据被泄露,手机号以及姓名,密码,资料都被盗取,很多平台的APP的银行卡,充值通道,聚合支付...

    技术分享达人
  • APP逻辑漏洞在渗透测试中 该如何安全的检测

    IOS端的APP渗透测试在整个互联网上相关的安全文章较少,前几天有位客户的APP数据被篡改,导致用户被随意提现,任意的提币,转币给平台的运营造成了很大的经济损失...

    网站安全专家
  • APP安全测试 该如何渗透检测APP存在的漏洞

    IOS端的APP渗透测试在整个互联网上相关的安全文章较少,前几天有位客户的APP数据被篡改,导致用户被随意提现,任意的提币,转币给平台的运营造成了很大的经济损失...

    技术分享达人
  • 金融篇——移动 APP 安全行业报告

    腾讯云安全
  • APP引导页界面作用大,几种设计类型抓住用户

    移动APP引导页指的是用户正式进入移动APP之前,短暂停留在手机界面的指引性页面,通常来说有单幅的介绍式、3~5幅的故事描述式或者情感体验式等。

    用户5009027
  • 提供APP开发技术与提供APP开发服务还真不是一回事?

    现如今APP开发早已被大家熟悉了解,这是好事,让更多的人懂APP。但我们发现一个奇怪的事情,西安APP开发公司在不断增加,随后又很快消失。这是什么原因呢?

    西安弈聪软件公司
  • 怎样让你的移动APP人尽皆知?

     一、狠抓实用性,多关注用户的生活细节。   从用户的生活细节着手,发现未被满足的需求,再尝试植入产品。如星巴克推出的EarlyBird,下载后可以设定时间提醒...

    人称T客

扫码关注云+社区

领取腾讯云代金券