移动安全

移动安全 Android 渗透测试学习手册(七)不太知名的 Android 漏洞

Android 渗透测试学习手册(七)不太知名的 Android 漏洞

前言 上一章节讲述了《Android 渗透测试学习手册玩转 SQLite》,这一张继续讲解不太知名的 Android 漏洞 在本章中,我们将了解一些不太知名的 Android 攻击向量,这在 Android 渗透测试中可能很有用。 我们还将涵盖一些主题,如 Android 广告库中的漏洞和 WebView 实现中的漏洞。 作为渗透测试者,本章将帮助你以更有效的方式审计 Andr...
移动安全 2016年安天移动安全年报:威胁的全面迁徙

2016年安天移动安全年报:威胁的全面迁徙

1 序言 安天从2005年开始,每年年初公布年报,对上一年度网络威胁状况进行总结,对威胁演进趋势做出预测。早期安天威胁年报以后台病毒样本捕获分析系统的数据统计为主要支撑。而后我们放弃了罗列数据的风格,走向观点型年报,并分成“基础威胁年报”和“移动安全年报”发布。安天移动安全团队在本次年度移动安全报告中继续以观点的方式来组织内容,用威胁的概念表达归纳安全事态的现象和趋势,并新增“...
移动安全 Android 渗透测试学习手册(六)玩转 SQLite

Android 渗透测试学习手册(六)玩转 SQLite

前言 上文讲述了《正文 Android 渗透测试学习手册(五)Android 取证》,本章我们讲继续讲述 Android 渗透测试学习的玩转 SQLite SQLite 是一个开源数据库,具有许多类似于其他关系数据库(如 SQL)的功能。 如果你是应用程序开发人员,你可能还会注意到 SQLite 查询看起来或多或少像 SQL 一样。 在 Android 中选择 SQLite 的...
移动安全 Android 渗透测试学习手册(五)Android 取证

Android 渗透测试学习手册(五)Android 取证

前言 上文讲述了《Android 渗透测试学习手册(四)对 Android 设备进行流量分析》,本章我们讲继续讲述 Android 渗透测试中的Android 取证 5.1 取证类型 取证是使用不同的手动和自动方法从设备中提取和分析数据。它可以大致分为两类: 1,逻辑采集:这是的一种取证方法,其中取证员与设备交互并从文件系统提取数据。该数据可以是任何内容,诸如应用特定数据,联系...
安全报告 2016年Android恶意软件专题报告

2016年Android恶意软件专题报告

摘 要 2016年全年,360互联网安全中心累计截获Android平台新增恶意程序样本1403.3万个,平均每天新增3.8万恶意程序样本。 2016年全年,从手机用户感染恶意程序情况看,360互联网安全中心累计监测到Android用户感染恶意程序2.53亿,平均每天恶意程序感染量约为70万人次。 根据移动端恶意程序感情况,经历2012-2014三年的高速增长期,2016年首次停...
移动安全 【MiSRC】技术分享-浅谈android hook技术

【MiSRC】技术分享-浅谈android hook技术

注:本文为“小米安全中心”原创,转载请联系“小米安全中心” 前言 xposed框架 xposed,主页:http://repo.xposed.info/module/de.robv.android.xposed.installer 是个开源的框架,在github上有源码的,直接下载apk后安装激活就可以使用,很多地方有这方面的教程,针对不同的手机架构,有大牛做了针对性的修改。可...
移动安全 Android 渗透测试学习手册(四)对 Android 设备进行流量分析

Android 渗透测试学习手册(四)对 Android 设备进行流量分析

前言 上文讲述了《Android 渗透测试学习手册(三)Android 应用的逆向和审计》在本章中,我们将研究 Android 设备的网络流量,并分析平台和应用程序的流量数据。 通常应用程序会在其网络数据中泄漏敏感信息,因此发现它是渗透测试程序最重要的任务之一。 此外,你经常会遇到通过不安全的网络协议执行身份验证和会话管理的应用程序。 因此,在本章中,我们将学习如何拦截和分析 ...
移动安全 Android 渗透测试学习手册(三)Android 应用的逆向和审计

Android 渗透测试学习手册(三)Android 应用的逆向和审计

前言 上文讲述了《Android 渗透测试学习手册(二)准备实验环境》在本章中,我们将查看 Android 应用程序或 .apk 文件,并了解其不同的组件。 我们还将使用工具( 如 Apktool,dex2jar 和 jd-gui) 来逆向应用程序。 我们将进一步学习如何通过逆向和分析源代码来寻找 Android 应用程序中的各种漏洞。 我们还将使用一些静态分析工具和脚本来查找...
移动安全 Android 渗透测试学习手册(二)准备实验环境

Android 渗透测试学习手册(二)准备实验环境

前言 在上一章《Android 渗透测试学习手册(一)Android 安全入门》中,我们了解了 Android 安全性及其体系结构的基础知识。 在本章中,我们将了解如何建立 Android 渗透测试实验环境,其中包括下载和配置 Android SDK 和 Eclipse。 我们将深入了解 ADB,并了解如何创建和配置 Android 虚拟设备( AVD)。 2.1建 立 开 发...
移动安全 Android 渗透测试学习手册(一)Android 安全入门

Android 渗透测试学习手册(一)Android 安全入门

摘要:Android 是当今最流行的智能手机操作系统之一。 随着人气的增加,它存在很多安全风险,这些风险不可避免地被引入到应用程序中,使得用户本身受到威胁。 我们将在本书中以方法论和循序渐进的方式来讨论 Android 应用程序安全性和渗透测试的各个方面。 文章目录 1.1 Android 简介 1.2 深入了解 Android 1.3 沙箱和权限模型 1.4 应用签...
移动安全 如何突破双向证书认证防护

如何突破双向证书认证防护

本文由wadcl原创投稿安全脉搏,安全脉搏独家发表本文,如需要转载,请先联系安全脉搏授权;未经授权请勿转载。 以前给一家证券机构做测试,第一次碰到了服务器双向认证的问题,当时双向认证的概念还没有推广开来,所以折腾了很久,虽然当时不知道原理,但是也算是解决了双向认证走代理的问题了。前段时间,碰到了一个apk,想抓包看看数据,发现用的也是双向认证,所以就折腾了一下。 当服务器启用了...
移动安全 某记账App iOS客户端内购破解

某记账App iOS客户端内购破解

本文转自脉搏战略合作伙伴先知技术社区 原帖地址  原作者: 墨眉_凌迟  安全脉搏编辑Joey整理发布 注:本次操作环境为-越狱iPhone 4s,ios8.3,app版本为1.6.6 由于厂商要求隐藏敏感信息,所以app名称不公开,这款app就不详细介绍了,各位看官见谅,总之这篇文章主要是给刚接触逆向面对一个陌生的app时还无从下手的新手朋友提供一个思路,小弟才学疏浅,如有纰...
移动安全 Trick蠕虫病毒来袭!幕后主使竟是一名高中生“黑客”!

Trick蠕虫病毒来袭!幕后主使竟是一名高中生“黑客”!

黑客一直是美国电影中的重要元素,很多经典大片中都有黑客的身影,如战争游戏、黑客帝国等。电影中黑客总是神通广大、行侠仗义,《战争游戏》中的年轻黑客大卫•莱特曼利用黑客技术避免引爆核武器,《黑客帝国》中尼奥通过黑客技术摆脱虚拟世界控制。 电影中的黑客们利用高超的计算机技术拯救世界,正能量爆棚,激发了无数观众对计算机的向往;但是现实生活中却有“黑客”利用计算机技术开发蠕虫病毒,攻击大...
移动安全 Android逆向随笔之遇见MultiDex

Android逆向随笔之遇见MultiDex

注:本文为“小米安全中心”原创,作者: 瘦蛟舞 ,转载请联系“小米安全中心” 上期回顾:安全扫描自动化检测平台建设(Web黑盒下) 0x00 Who is Multidex 很多大厂的Android App因为业务量大,引用库多导致其apk包中的类于方法剧增。这样就有可能出现因为方法数过多导致编译失败的情况。产生这个问题的主因是dex文件格式的限制。一个DEX文件中method...
移动安全 恶意软件伪装“正规军”,撕开Booster Cleaner“画皮”下的真相

恶意软件伪装“正规军”,撕开Booster Cleaner“画皮”下的真相

经常使用手机浏览器阅读小说的用户都知道,在浏览器页面经常会出现一些推广游戏应用、手机清理应用等应用推广型的弹窗广告。有时出于方便,我们也会选择直接点开这些弹窗广告进行应用下载。但这种行为并不安全,部分恶意应用会首先伪装成“正规军”诱导用户进行下载。一旦用户下载安装成功,该应用便大肆入侵用户手机,劫持浏览器进行仿冒应用的广告推送,甚至静默安装其它未知应用。 近期安天移动安全威胁情...

不容错过

友情链接

合作伙伴