138_移动应用安全评估与渗透测试实战指南

威胁建模 → 信息收集 → 静态分析 → 动态分析 → 漏洞挖掘 → 报告生成

OWASP移动安全测试指南(MSTG) → OWASP移动应用安全验证标准(MASVS) → NIST安全框架

资产识别 → 威胁识别 → 风险评估 → 缓解策略

# 攻击面分析清单

# 1. 客户端组件
- 代码安全性
- 资源文件
- 配置文件
- 存储数据

# 2. 网络通信
- API端点
- 数据传输协议
- 证书验证
- 会话管理

# 3. 认证与会话
- 登录机制
- 密码策略
- 会话管理
- 多因素认证

# 4. 第三方集成
- SDK安全性
- API调用
- 外部服务交互

# Android应用信息收集

# 1. 获取应用基本信息
adb shell dumpsys package com.example.app

# 2. 提取应用权限信息
adb shell dumpsys package com.example.app | grep "permission"

# 3. 下载应用APK文件
adb pull /data/app/com.example.app-1/base.apk ./app.apk

# 4. 提取应用元数据
apkanalyzer manifest print app.apk

# iOS应用信息收集

# 1. 从App Store获取应用信息
# 使用第三方工具如iMazing或Charles Proxy

# 2. 分析应用权限
# 在越狱设备上使用Cycript查询应用权限
ssh root@<device-ip> 'cycript -p AppName'
[[UIApplication sharedApplication] permissions]

# 设置代理捕获网络流量

# 1. 配置Charles Proxy捕获Android网络流量
adb reverse tcp:8888 tcp:8888

# 2. 配置iOS设备使用Charles Proxy
# 在设备WiFi设置中配置HTTP代理

# 3. 使用tcpdump捕获网络流量
# Android
adb shell su -c "tcpdump -i any -p -s 0 -w /sdcard/capture.pcap"
adb pull /sdcard/capture.pcap .

# iOS (越狱设备)
ssh root@<device-ip> 'tcpdump -i any -p -s 0 -w /tmp/capture.pcap'
scp root@<device-ip>:/tmp/capture.pcap .

# 4. 使用Wireshark分析捕获的流量
wireshark capture.pcap

# 简单的API端点提取脚本示例
import re
import json

# 从网络流量日志中提取API端点
def extract_api_endpoints(log_file):
    with open(log_file, 'r') as f:
        log_content = f.read()
    
    # 正则表达式匹配常见API端点
    api_pattern = r'(https?://[^\s"]+/api/[^\s"]+)'
    endpoints = re.findall(api_pattern, log_content)
    
    # 去重并保存
    unique_endpoints = list(set(endpoints))
    
    with open('api_endpoints.json', 'w') as f:
        json.dump(unique_endpoints, f, indent=2)
    
    print(f"Extracted {len(unique_endpoints)} unique API endpoints")
    return unique_endpoints

# 分析API请求模式
def analyze_api_requests(log_file):
    # 实现API请求分析逻辑
    # ...
    pass

# 使用MobSF进行自动化静态分析

# 1. 安装和启动MobSF
git clone https://github.com/MobSF/Mobile-Security-Framework-MobSF.git
cd Mobile-Security-Framework-MobSF
./setup.sh
./run.sh

# 2. 使用OWASP Dependency-Check分析第三方依赖
# 安装依赖检查工具
pip install dependency-check

# 分析应用依赖
dependency-check --scan app.apk --format HTML --out dependency_report.html

# 3. 手动代码审计关键文件
# 反编译应用
apktool d app.apk -o app_decompiled

# 检查关键配置文件
cat app_decompiled/AndroidManifest.xml

# 检查敏感代码
find app_decompiled -name "*.smali" | xargs grep -l "network\|http\|url"

# 1. 提取应用类和方法信息
class-dump -H Payload/ExampleApp.app/ExampleApp -o class_dump_output

# 2. 分析Info.plist文件
plutil -p Payload/ExampleApp.app/Info.plist

# 3. 搜索敏感字符串
strings Payload/ExampleApp.app/ExampleApp | grep -i "password\|key\|token\|secret"

# 4. 分析二进制文件中的符号
otool -tv Payload/ExampleApp.app/ExampleApp | grep -i "encrypt\|decrypt\|auth"

# 5. 使用MobSF分析iOS应用
# 通过MobSF Web界面上传IPA文件

# Android动态分析环境搭建

# 1. 配置Android模拟器
# 创建支持root的AVD
avdmanager create avd -n security-test -k "system-images;android-28;google_apis;x86"

# 2. 安装Xposed框架
# 下载Xposed Installer并安装

# 3. 安装Frida
# 在PC上安装Frida
pip install frida-tools

# 在Android设备上安装Frida服务
adb push frida-server /data/local/tmp/
adb shell chmod 755 /data/local/tmp/frida-server
adb shell su -c "/data/local/tmp/frida-server &"

# iOS动态分析环境搭建

# 1. 配置越狱iOS设备
# 安装Cydia并添加源

# 2. 安装必要的工具
# 通过Cydia安装OpenSSH、Cycript等

# 3. 安装Frida
# 在PC上安装Frida
pip install frida-tools

# 在iOS设备上安装Frida
# 通过Cydia安装或使用：
ssh root@<device-ip> 'apt-get install wget'
ssh root@<device-ip> 'wget -O frida-server https://github.com/frida/frida/releases/download/14.x.x/frida-server-14.x.x-ios-universal.deb'
ssh root@<device-ip> 'dpkg -i frida-server'
ssh root@<device-ip> 'frida-server &'

// Android应用动态分析脚本示例
Java.perform(function() {
    // 1. 监控敏感API调用
    var Log = Java.use('android.util.Log');
    Log.d.implementation = function(tag, message) {
        console.log('[LOG] ' + tag + ': ' + message);
        return this.d(tag, message);
    };
    
    // 2. 分析加密功能
    var CryptoUtils = Java.use('com.example.app.utils.CryptoUtils');
    CryptoUtils.encrypt.implementation = function(data, key) {
        console.log('[+] Encrypt called with data: ' + data);
        console.log('[+] Encrypt key: ' + key);
        
        var result = this.encrypt(data, key);
        console.log('[+] Encrypt result: ' + result);
        
        return result;
    };
    
    // 3. 监控网络请求
    var URLConnection = Java.use('java.net.URLConnection');
    URLConnection.connect.implementation = function() {
        console.log('[*] URLConnection.connect called');
        console.log('[*] URL: ' + this.getURL());
        this.connect();
    };
    
    // 4. 分析身份验证过程
    var LoginManager = Java.use('com.example.app.managers.LoginManager');
    LoginManager.authenticate.implementation = function(username, password) {
        console.log('[+] Login attempt with username: ' + username);
        console.log('[+] Password: ' + password);
        
        var result = this.authenticate(username, password);
        console.log('[+] Authentication result: ' + result);
        
        return result;
    };
});

# Android内存分析

# 1. 获取应用进程ID
adb shell ps | grep com.example.app

# 2. 转储应用内存
adb shell su -c "dd if=/proc/[PID]/mem of=/sdcard/mem_dump bs=1024 count=10240"
adb pull /sdcard/mem_dump .

# 3. 使用strings搜索内存中的敏感数据
strings mem_dump | grep -i "password\|token\|key\|secret"

# iOS内存分析

# 1. 在越狱设备上使用Cycript获取内存信息
ssh root@<device-ip> 'cycript -p AppName'

# 2. 访问关键对象并提取数据
# 在Cycript中执行：
var userDefaults = NSUserDefaults.standardUserDefaults();
userDefaults.dictionaryRepresentation().allKeys().forEach(function(key) {
    var value = userDefaults.objectForKey(key);
    console.log(key + " = " + value);
});

// 会话劫持漏洞利用示例
Java.perform(function() {
    // 1. 拦截会话令牌
    var SessionManager = Java.use('com.example.app.managers.SessionManager');
    SessionManager.getSessionToken.implementation = function() {
        var token = this.getSessionToken();
        console.log('[+] Session token captured: ' + token);
        return token;
    };
    
    // 2. 替换会话令牌（模拟会话劫持）
    SessionManager.setSessionToken.implementation = function(token) {
        console.log('[*] Setting new session token');
        // 可以在这里修改令牌值进行测试
        return this.setSessionToken(token);
    };
    
    // 3. 绕过会话验证
    SessionManager.isSessionValid.implementation = function() {
        console.log('[+] Bypassing session validation');
        return true; // 始终返回有效
    };
});

# Android不安全存储漏洞利用

# 1. 检查应用数据目录
adb shell su -c "ls -la /data/data/com.example.app/"

# 2. 检查SharedPreferences文件
adb shell su -c "cat /data/data/com.example.app/shared_prefs/*.xml"

# 3. 检查SQLite数据库
adb shell su -c "cp /data/data/com.example.app/databases/*.db /sdcard/"
adb pull /sdcard/database.db .
sqlite3 database.db
sqlite> .tables
sqlite> SELECT * FROM users;

# iOS不安全存储漏洞利用

# 1. 在越狱设备上检查应用目录
ssh root@<device-ip> 'ls -la /var/mobile/Containers/Data/Application/*/Documents/'

# 2. 检查SQLite数据库
ssh root@<device-ip> 'sqlite3 /var/mobile/Containers/Data/Application/*/Documents/*.db "SELECT * FROM users;"'

// SSL证书验证绕过示例
Java.perform(function() {
    // 1. 实现自定义TrustManager
    var TrustManager = Java.use('javax.net.ssl.X509TrustManager');
    var TrustManagerImpl = Java.registerClass({
        name: 'javax.net.ssl.X509TrustManager',
        implements: [TrustManager],
        methods: {
            checkClientTrusted: function(chain, authType) {},
            checkServerTrusted: function(chain, authType) {},
            getAcceptedIssuers: function() { return []; }
        }
    });
    
    // 2. 设置自定义TrustManager
    var SSLContext = Java.use('javax.net.ssl.SSLContext');
    var context = SSLContext.getInstance('TLS');
    context.init(null, [TrustManagerImpl.$new()], null);
    
    // 3. 替换默认SSLSocketFactory
    var HttpsURLConnection = Java.use('javax.net.ssl.HttpsURLConnection');
    HttpsURLConnection.setDefaultSSLSocketFactory(context.getSocketFactory());
    
    // 4. 监控解密后的流量
    HttpsURLConnection.getInputStream.implementation = function() {
        console.log('[*] HTTPS Request to: ' + this.getURL());
        
        var inputStream = this.getInputStream();
        var BufferedReader = Java.use('java.io.BufferedReader');
        var InputStreamReader = Java.use('java.io.InputStreamReader');
        var reader = BufferedReader.$new(InputStreamReader.$new(inputStream));
        
        var line, response = '';
        while ((line = reader.readLine()) !== null) {
            response += line;
        }
        
        console.log('[+] Decrypted HTTPS Response: ' + response);
        
        // 重建输入流
        var ByteArrayInputStream = Java.use('java.io.ByteArrayInputStream');
        var bytes = response.getBytes('UTF-8');
        return ByteArrayInputStream.$new(bytes);
    };
});

严重性评估矩阵：
影响范围 × 影响程度 × 可利用性 = 总体严重性

1. 执行摘要
   - 测试目标
   - 关键发现
   - 总体风险评估

2. 测试范围与方法
   - 测试范围
   - 测试方法
   - 测试工具

3. 安全漏洞详情
   - 漏洞描述
   - 严重级别
   - 技术细节
   - 影响分析
   - 利用证明

4. 修复建议
   - 具体修复措施
   - 最佳实践
   - 验证方法

5. 附录
   - 详细的技术发现
   - 工具使用情况
   - 参考资料

# 安全修复验证流程

# 1. 确认修复已应用
# 检查应用版本或代码更改

# 2. 重新测试漏洞点
# 对每个已报告的漏洞进行验证测试

# 3. 验证修复未引入新问题
# 进行回归测试

# 4. 记录验证结果
# 记录每个漏洞的验证状态和结果