■楊光

手機(jī)App安全性測(cè)試初探

■楊光

目前手機(jī)App測(cè)試還是以發(fā)現(xiàn)bug為主，主要測(cè)試流程就是服務(wù)器接口測(cè)試，客戶端功能性覆蓋，以及自動(dòng)化配合的性能，適配，壓測(cè)等，對(duì)于App安全性測(cè)試貌似沒(méi)有系統(tǒng)全面統(tǒng)一的標(biāo)準(zhǔn)和流程，其實(shí)安全性bug也可以是bug的一種，只不過(guò)更加隱秘，難以發(fā)現(xiàn)，尤其針對(duì)于手機(jī)App。

個(gè)人理解，大部分App還是走的http或者h(yuǎn)ttps，所以防http抓包泄露用戶信息以及系統(tǒng)自身漏洞是必要的，畢竟像騰訊那種通過(guò)自身通信協(xié)議增加安全性的還是少數(shù)的 （抓過(guò)微信和qq的沒(méi)抓著，不知道有沒(méi)有相關(guān)工具可以抓手機(jī)tcp的包）。既然有接口測(cè)試為什么還需要單獨(dú)對(duì)客戶端進(jìn)行抓包驗(yàn)證安全性呢？這么說(shuō)吧，接口測(cè)試其實(shí)最主要的驗(yàn)證接口邏輯，可用性，邊界值，異常檢查，但并不能預(yù)先保證客戶端調(diào)用不出問(wèn)題，一個(gè)針對(duì)多個(gè)App抓包都發(fā)現(xiàn)的問(wèn)題可以說(shuō)明：抓了好多社交性App，發(fā)現(xiàn)對(duì)于用戶資料隱私泄露還是很嚴(yán)重的，當(dāng)你查看一個(gè)陌生用戶信息時(shí)，一些手機(jī)號(hào)，qq等信息頁(yè)面上應(yīng)該不顯示的，但這些信息不顯示并不代表服務(wù)器沒(méi)有下發(fā)，好多都是客戶端限制的，通過(guò)抓包，完全可以查看到陌生用戶的App。再如好多發(fā)帖，push消息的應(yīng)用，如果沒(méi)有消息有效性的驗(yàn)證，抓到包之后篡改消息，服務(wù)器一點(diǎn)反應(yīng)都沒(méi)，這就會(huì)留有極大的隱患。

至于逆向工程這點(diǎn)，對(duì)于android就很好理解了，反編譯，修改或者插入自己的代碼，以達(dá)到相應(yīng)目的。真見(jiàn)過(guò)幾個(gè)沒(méi)有代碼混淆的app，包括我們自己的以及大名鼎鼎snapchat，記得有個(gè)游戲特搞笑，游戲主題是C#寫得，結(jié)果java的代碼混淆了，C#的代碼沒(méi)有，修改了幾個(gè)參數(shù)值，插了幾段自己的代碼，就作弊成功了。尤其好多開(kāi)放平臺(tái)的游戲，通過(guò)開(kāi)放平臺(tái)sdk文檔，再加上反編譯后些許信息，即使代碼混淆了，也能推測(cè)出好多東西。這些都是安全性隱患。

以上這些只是筆者最近一段時(shí)間對(duì)于手機(jī)App安全性測(cè)試的一點(diǎn)認(rèn)識(shí)，很膚淺，安全性測(cè)試對(duì)于測(cè)試人員素質(zhì)要求還是很高的，尤其好多都是經(jīng)驗(yàn)性的東西，只有通過(guò)不斷增加經(jīng)驗(yàn)，才能更好的做好測(cè)試。