2. 程式人生 > >Android應用安全防護的點點滴滴

Android應用安全防護的點點滴滴

阿新 • • 發佈：2019-01-08

前言

facebook資料洩露,國內某公司資訊洩露,國內某酒店開房記錄洩露...,近年來,資訊保安越來越讓人堪憂,作為移動開發人員,也是憂心忡忡,在經理的指示下,開始Android資訊保安防護的旅程

一. webView

在現在安卓應用原生開發中，為了追求開發的效率以及移植的便利性，使用WebView作為業務內容展示與互動的主要載體是個不錯的折中方案。

那麼在這種Hybrid(混合式) App中，難免就會遇到頁面JS需要與Java相互呼叫，呼叫Java方法去做那部分網頁JS不能完成的功能。網上的方法可以告訴我們這個時候我們可以使用addjavascriptInterface來注入原生介面到JS中，但是在安卓4.2以下的系統中，這種方案卻我們的應用帶來了很大的安全風險。攻擊者如果在頁面執行一些非法的JS（誘導使用者開啟一些釣魚網站以進入風險頁面），極有可能反彈拿到使用者手機的shell許可權。接下來攻擊者就可以在後臺默默安裝木馬，完全洞穿使用者的手機

==那麼如何避免呢?我們從以下幾個方面進行優化webView.==

1. 謹慎支援JS功能，避免不必要的麻煩

提到對於Android4.2以下的JS任意程式碼執行漏洞 , 還有包括證書版本過低不安全的因素 . 對於低版本 , 對於2019年未來來說,建議可以放棄支援.

2. 請使用https的連結

  • 第一是安全；
  • 第二是避免被噁心的運營商劫持，插入廣告，影響使用者體驗

我覺得這個很有必要,不僅僅是因為安全,包括微信公眾號,googleplay 都在強制要求開發者必須使用https

3. 處理file協議安全漏洞

//若不需支援，則直接禁止 file 協議
setAllowFileAccess(false
 
);
setAllowFileAccessFromFileURLs(false);
setAllowUniversalAccessFromFileURLs(false);
複製程式碼

4. 密碼明文儲存漏洞

由於webView預設開啟密碼儲存功能，所以在使用者輸入密碼時，會彈出提示框，詢問使用者是否儲存。若選擇儲存，則密碼會以明文形式儲存到 ==/data/data/com.package.name/databases/webview.db==中，這樣就有被盜取密碼的危險。所以我們應該禁止網頁儲存密碼，設定

WebSettings.setSavePassword(false)
複製程式碼

5. 開啟安全瀏覽模式

<manifest> 
		<meta-data
    android:name="android.webkit.WebView.EnableSafeBrowsing"
    android:value="true" />
  		<application> ... </application>
 </manifest>

複製程式碼

啟用安全瀏覽模式後，WebView 將參考安全瀏覽的惡意軟體和釣魚網站資料庫檢查訪問的 URL ，在使用者開啟之前給予危險提示，體驗類似於Chrome瀏覽器 . 如果遇到不安全網站,會有如圖所示情況

二. 通訊安全

這個也是重中之重,大多數的資料安全都是通過網路攻擊造成的,那麼我們如何去避免呢?

1. 使用HTTPS協議

HTTPS的主要思想是在不安全的網路上建立一安全通道，並可在使用適當的加密包和伺服器證書可被驗證且可被信任時，對竊聽和中間人攻擊提供合理的防護。可以說是非常基礎的安全防護級別了。

2. 驗證證書.

android中實現Https基本就這兩種方式，一種是不驗證證書，一種是有驗證證書（預防釣魚）。

第二種驗證證書稍微複雜一點,這種方式也只能簡單的防止釣魚，不能有效的防止釣魚。防止釣魚最終還是靠使用者分辨，在正規渠道下載應用。

==但是如果把證書放在apk中也是一件很危險的事情,因為現在的反編譯技術不得不服,所以目前覺得最好的方式,就是放在.so檔案中.==可以進一步的降低風險 .

3. 通訊資料儘量不使用明文形式.

前後端進行自定義演算法進行加密,md5 base64 AES RSA 等等,==演算法推薦.so和java相互呼叫的形式==.

4. 防抓包

System.getProperty("http.proxyHost");  
System.getProperty("http.proxyPort");  

複製程式碼

正常這兩行程式碼獲取的是null,如果返回不為空,就是掛代理了,那麼就可以考慮是否不給資料了

5. token等等進一步的防護措施.

道高一尺,魔高一丈,未來的路還會很長.

三. 資料儲存安全

有了資料就得存放,如果存放,就會被別人發現.所以得存好嘍

1. 隱藏資料儲存位置

在Andoid裝置中,以'.'開標頭檔案或者資料夾是不可見的,並且也可以進行讀寫操作.如果隱藏了儲存了檔案位置,就可以避免使用者誤操作和被發現的機會.

2. 儲存內容不要使用明文

就算被找到,內容如果以密文的形式,也會降低被洩漏的風險

3. 程式碼中禁止硬編碼重要資訊內容

硬編碼很容易被反編譯找到.建議儲存到.so中(雖然.so也可以被破解,但是相較於java更安全點)

4. 儲存位置推薦

儘量儲存到手機內部儲存上,不要儲存到外部儲存卡上(因為手機內部儲存只對相應的應用開放,外部儲存對所有的應用都開放)

四. 元件安全

規範安卓標準組件（Activity、Service、Receiver、Provider）的訪問許可權

1. 設定許可權開放屬性：android:exported=["true" | "false"]

exported屬性為四大元件共有屬性，其中含義大同小異。預設值由其包含 ==== 與否決定。若未包含====，預設為“false”，若存在至少一個====，則預設值為“true”。

  • 在Activity中:

表示是否允許外部應用元件啟動。若為“false”，則 Activity 只能由同一應用或同一使用者 ID 的不同應用啟動。

  • 在Service中：

表示是否允許外部應用元件呼叫服務或與其進行互動。若為“false”，則 Activity 只能由同一應用或同一使用者 ID 的不同應用啟動。

  • 在Receiver中：

表示是否可以接收來自其應用程式之外的訊息，如來自系統或或其他應用的廣播。若為“ false”，則廣播接收器只能接收具有相同使用者ID的相同應用程式或應用程式的元件傳送的訊息。

  • 在Provider中：

表示是否允許其他應用程式訪問內容提供器。若為“false”，則具有與Provider相同的使用者ID（UID）的應用程式才能訪問它。如果需要給其他應用程式提供內容，則應當限定讀寫許可權。

2. 配置自定義許可權

自定義許可權,限制自己的元件訪問,詳情看Android自定義許可權與使用

3. 使用更加安全高效的LocalBroadcastManager

區別基於Binder實現的BroadcastReceiver，LocalBroadcastManager 是基於Handler實現的，擁有更高的效率與安全性。安全性主要體現在資料僅限於應用內部傳輸，避免廣播被攔截、偽造、篡改的風險。簡單瞭解下用法：

(1).自定義BroadcastReceiver

public class MyReceiver extends BroadcastReceiver {
    @Override
    public void onReceive(Context context, Intent intent) {
        //Do SomeThing Here
    }
}
複製程式碼

(2).註冊Receive

MyReceiver myReceiver = new MyReceiver();
LocalBroadcastManager localBroadcastManager = LocalBroadcastManager.getInstance(this);
IntentFilter filter = new IntentFilter();
filter.addAction("MY_ACTION");
localBroadcastManager.registerReceiver(myReceiver, filter);
複製程式碼

(3).傳送本地廣播

Bundle bundle = new Bundle();
bundle.putParcelable("DATA", content);
Intent intent = new Intent();
intent.setAction("MY_ACTION");
intent.putExtras(bundle);
LocalBroadcastManager.getInstance(context).sendBroadcast(intent);
複製程式碼

(4).在Activity銷燬時取消註冊

@Override
protected void onDestroy() {
    super.onDestroy();
    localBroadcastManager.unregisterReceiver(myReceiver);
}
複製程式碼

4. Application相關屬性配置

(1). debugable屬性 android:debuggable=["true" | "false"]

很多人說要在釋出的時候手動設定該值為false，其實根據官方文件說明，預設值就是false。

(2). allowBackup屬性 android:allowBackup=["true" | "false"]

設定是否支援備份，預設值為true，應當慎重支援該屬性，避免應用內資料通過備份造成的洩漏問題。

5. 自定義鍵盤.

對於操作密碼等危險輸入的情況,可以考慮自定義鍵盤處理,防止通過鍵盤被盜用密碼.

五. 其他防護措施

多做一層安全措施,少一點風險.

1. 程式碼安全

  • 加固 360加固寶 等等
  • 混淆

2. 控制日誌輸出

自定義工具類,不要在線上出現敏感的資訊

3. 漏洞檢測工具

各種雲測平臺進行測試

  • testin 雲測
  • 阿里雲測 免費的
  • 騰訊的 wetest

4. 防止模擬器

判斷手機是否包含藍芽等模組,一些資訊是否跟手機真機不一致等.防止通過模擬器篡改資訊

5. 二次打包

通過判斷簽名信息,防止,被二次打包,除錯應用資訊

6. 賬號與裝置繫結

賬號與相應裝置進行繫結,如果發現與常用裝置不符合,增加簡訊登入形式進行重新登入

7. dex檔案的校驗

重編譯apk其實就是重編譯了classes.dex檔案,重編譯後,生成的classes.dex檔案的hash值就改變了,因此我們可以通過檢測安裝後classes.dex檔案的hash值來判斷apk是否被重打包過。

(1). 讀取應用安裝目錄下/data/app/xxx.apk中的classes.dex檔案並計算其雜湊值,將該值與軟體釋出時的classes.dex雜湊值做比較來判斷客戶端是否被篡改。

(2). 讀取應用安裝目錄下/data/app/xxx.apk中的META-INF目錄下的MANIFEST.MF檔案,該檔案詳細記錄了apk包中所有檔案的雜湊值,因此可以讀取該檔案獲取到classes.dex檔案對應的雜湊值,將該值與軟體釋出時的classes.dex雜湊值做比較就可以判斷客戶端是否被篡改。

為了防止被破解,軟體釋出時的classes.dex雜湊值應該存放在伺服器端。

8.偵錯程式檢測

為了防止apk被動態除錯,可以檢測是否有偵錯程式連線。在Application類中提供了isDebuggerConnected()方法用於檢測是否有偵錯程式連線,如果發現有偵錯程式連線,可以直接退出程式。

9.是否root

檢測是否包含su程式,和ro.secure是否為1,如果root了,可以禁止某些核心功能 檢測是否root的程式碼

    public boolean isRoot() {
        int secureProp = getroSecureProp();
        if (secureProp == 0)//eng/userdebug版本，自帶root許可權
            return true;
        else return isSUExist();//user版本，繼續查su檔案
    }

    private int getroSecureProp() {
        int secureProp;
        String roSecureObj = CommandUtil.getSingleInstance().getProperty("ro.secure");
        if (roSecureObj == null) secureProp = 1;
        else {
            if ("0".equals(roSecureObj)) secureProp = 0;
            else secureProp = 1;
        }
        return secureProp;
    }

    private boolean isSUExist() {
        File file = null;
        String[] paths = {"/sbin/su",
                "/system/bin/su",
                "/system/xbin/su",
                "/data/local/xbin/su",
                "/data/local/bin/su",
                "/system/sd/xbin/su",
                "/system/bin/failsafe/su",
                "/data/local/su"};
        for (String path : paths) {
            file = new File(path);
            if (file.exists()) return true;//可以繼續做可執行判斷
        }
        return false;
    }

複製程式碼

10. 是否裝有xposd框架

檢測是否安裝有xposd框架,如果有提示並隱藏核心功能模組.介面禁用某些功能 所有的方案迴歸到一點：==判斷xposed的包是否存在。== (1).是通過主動丟擲異常查棧資訊; (2).是主動反射呼叫。

    private static final String XPOSED_HELPERS = "de.robv.android.xposed.XposedHelpers";
    private static final String XPOSED_BRIDGE = "de.robv.android.xposed.XposedBridge";

    //手動丟擲異常，檢查堆疊資訊是否有xp框架包
    public boolean isEposedExistByThrow() {
        try {
            throw new Exception("gg");
        } catch (Exception e) {
            for (StackTraceElement stackTraceElement : e.getStackTrace()) {
                if (stackTraceElement.getClassName().contains(XPOSED_BRIDGE)) return true;
            }
            return false;
        }
    }

    //檢查xposed包是否存在
    public boolean isXposedExists() {
        try {
            Object xpHelperObj = ClassLoader
                    .getSystemClassLoader()
                    .loadClass(XPOSED_HELPERS)
                    .newInstance();
        } catch (InstantiationException e) {
            e.printStackTrace();
            return true;
        } catch (IllegalAccessException e) {
            //實測debug跑到這裡報異常
            e.printStackTrace();
            return true;
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
            return false;
        }

        try {
            Object xpBridgeObj = ClassLoader
                    .getSystemClassLoader()
                    .loadClass(XPOSED_BRIDGE)
                    .newInstance();
        } catch (InstantiationException e) {
            e.printStackTrace();
            return true;
        } catch (IllegalAccessException e) {
            //實測debug跑到這裡報異常
            e.printStackTrace();
            return true;
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
            return false;
        }
        return true;
    }

    //嘗試關閉xp的全域性開關，親測可用
    public boolean tryShutdownXposed() {
        if (isEposedExistByThrow()) {
            Field xpdisabledHooks = null;
            try {
                xpdisabledHooks = ClassLoader.getSystemClassLoader()
                        .loadClass(XPOSED_BRIDGE)
                        .getDeclaredField("disableHooks");
                xpdisabledHooks.setAccessible(true);
                xpdisabledHooks.set(null, Boolean.TRUE);
                return true;
            } catch (NoSuchFieldException e) {
                e.printStackTrace();
                return false;
            } catch (ClassNotFoundException e) {
                e.printStackTrace();
                return false;
            } catch (IllegalAccessException e) {
                e.printStackTrace();
                return false;
            }
        } else return true;
    }

複製程式碼

參考資料

相關推薦

Android應用安全防護的點點滴滴

前言 facebook資料洩露,國內某公司資訊洩露,國內某酒店開房記錄洩露...,近年來,資訊保安越來越讓人堪憂,作為移動開發人員,也是憂心忡忡,在經理的指示下,開始Android資訊保安防護的旅程 一. webView 在現在安卓應用原生開發中，為了追求開發的效率以及移植的便利性，使用

Android安全/安全技術--22--Android應用安全防護技術

5-1、Android應用安全防護的基本策略 1、混淆策略 混淆機制有兩個用途，第一個是為了安全保護應用，第二個是為了減小應用安裝包大小，所以每個應用在發版之前必須要新增混淆這項功能。混淆機制一般有兩種：程式碼混淆和資源混淆。 程式碼混淆查閱：左側程式碼類名方法

Android應用安全防護和逆向分析-----作者

在之前的一片文章中，我們介紹了陣列操作物件的時候引用問題以及自動釋放池的概念：今天我們繼續來看一下引用計數中一個痛疼的問題：迴圈引用關於迴圈引用的問題，這裡就不做太多解釋了，就是多個物件之間相互引用，形成環狀。來看一個具體的例子：Dog類和Person類之間相互引用Dog.h

【 專欄 】- Android應用安全防護和逆向分析學習筆記

Android應用安全防護和逆向分析學習筆記 這裡給大家分享的是《Android應用安全防護和逆向分析》的學習筆記，個人認為移動端的安全也是不可忽視的，我們Android工程師應該重視Android的安全這一塊，希望這個專欄的部落

Android應用安全常見問題及解決方案

內容來源：2018 年 09 月 15 日，華為資深技術專家李欣哲在“從研發到測試，手把手教你打造綠色應用”進行《應用安全常見問題及解決方案》的演講分享。IT 大咖說作為獨家視訊合作方，經主辦方和講者審閱授權釋出。 閱讀字數：3315 | 9分鐘閱讀 觀看嘉賓演講視訊及PPT，請點選：t.cn/E2DtMQW

Android應用安全之Android APP通用型拒絕服務漏洞

0xr0ot和Xbalien交流所有可能導致應用拒絕服務的異常型別時，發現了一處通用的本地拒絕服務漏洞。該通用型本地拒絕服務可以造成大面積的app拒絕服務。 針對序列化物件而出現的拒絕服務主要是由於應用中使用了getSerializableExtra() 的API，由於應用開發者沒有對

Android應用安全之外部動態載入DEX檔案風險

1. 外部動態載入DEX檔案風險描述 Android 系統提供了一種類載入器DexClassLoader，其可以在執行時動態載入並解釋執行包含在JAR或APK檔案內的DEX檔案。外部動態載入DEX檔案的安全風險源於：Anroid4.1之前的系統版本容許Android應用將動態載入的DEX檔案儲存

Android之安全防護allowBackup

一、前言 今天在開發的過程中遇到一個問題，就是關於AndroidManifest.xml中的allowBackup屬性，也算是自己之前對這個屬性的不瞭解，加上IDE的自動生成程式碼，沒太注意這個屬性，但是沒想到這個屬性會直接導致隱私資料的丟失。下面就來看一下這個屬性的影響到

Android native 安全防護之 防劫持

boolean safe = AntiHijackingUtil.checkActivity(this); if (safe){ }else { Toast.makeText(activity, "某某程式已到後臺執行，請注意資訊保安", Toast.LENGT

Android 應用互調的實現並新增自定義許可權進行安全防護

最近在做一個安全漏洞修復的工作，場景是A應用必須由B應用調起，由於涉及到元件暴露所以我們需要考慮安全的問題，最後添加了自定義許可權進行解決。 一、A應用 作為被調起者，需要暴露元件給B應用。所以A的清單檔案中要新增自定義許可權（注意：這裡的許可權級別至少是signature或者signatu

關於Android應用程序漏洞的防護措施

android 應用程序 移動應用 開發者 目前，Android應用程序市場的發展速度飛快，不少開發者為了追求開發速度而忽視應用程序的安全。但由於Android系統的開源性及其Java編寫的特殊性，各類Android App經常被爆出漏洞，有的Android開發者只是對App進行

android黑科技系列——Android中新型安全防護策略

應該 nat term 反編譯 packages 名稱 文章 訪問 多說 一、前言 最近有一個同學，發給我一個設備流量訪問檢測工具，但是奇怪的是，他從GP上下載下來之後安裝就沒有數據了，而在GP上直接安裝就可以。二次打包也會有問題。所以這裏就可以判斷這個app應該是有簽名

Web應用防火墻-網站安全防護

覆蓋 應用交付 self https 解決 信號 sim 包含 ont Web應用防火墻簡稱WAF。Web應用防火墻是集WEB防護、網頁保護、負載均衡、應用交付於一體的WEB整體安全防護設備的一款產品。它具有異常檢測協議 、增強輸入驗證、及時補丁等優勢功能。我使用過 Imp

關於Android應用開發的一些安全註意事項

gui IT tracking output 技術 偽造 ger 每一個 idm 原文地址: http://www.javacodegeeks.com/2014/05

沃通SSL證書、程式碼簽名證書應用於機器人安全防護

近兩年，掃地機器人、智慧音箱等消費級機器人產品逐漸走入大眾生活的中。隨著人工智慧技術的迅猛發展，預計2023年全球消費級機器人市場規模將達到150億美元。然而，產業的迅猛發展卻伴隨著安全防護的缺失，安全人員研究了主流的機器人系統安全防護，發現很多產品在基礎安全方面明顯防護不足。 諸多消費級機器人都執行在安卓

Android安全防護防護———加密演算法

摘要 這篇文章本來早就應該寫了，但是由於專案一直開發新的需求，就拖後了。現在有時間了，必須得寫了。現在Android應用程式對安全防範這方面要求越來越高了。特別是金融行業，如果金融app沒有沒有做好相應安全處理，那些很容易被一些Hacker（黑客）所攻擊。並不是說做了這些安全防範，這個應用就百分之百的安全的。

資訊保安技術及應用 系統安全防護技術

一、安全掃描技術 1.1 安全掃描技術概念 1、安全掃描技術指手工或使用特定的軟體工具(安全掃描器)，對系統脆弱性進行評估，尋找可能對系統造成損害的安全漏洞。 2、安全掃描技術分為系統掃描和網路掃描兩大類。 （1）系統掃描：側重於主機系統的平臺安全性

Android Proguard安全加固教你如何讓自己的應用程式或SDK更難被反編譯--library打包成jar並且混淆

在android 應用層開發的時候咱們技術人員都或多或少都會接觸一些SDK比如so、jar等，這些都是資料類公司提供給網際網路開發公司的關於技術核心類方便的東西，因為是核心所以加密加固是必不可少的工作，本博今天就向大家介紹jar的封裝打包以及混淆，完成自己的SDK！在此之前需

Android中的UID、GID與應用安全

Linux系統的檔案許可權機制：每個檔案都是屬於某個使用者的，這個使用者稱作檔案的所有者。檔案對於所有者、所有者所在組的使用者、以及其它任意使用者分別開放了不同的操作許可權，操作許可權分為：讀、寫、執行三種。只有獲得了檔案操作許可權的應用才能對檔案做相應的操作。這就保護了檔案的安全性，保證使用者對自己不具備許

Android安全防護之旅---只需要這幾行程式碼讓Android程式專案變得更加安全

我們在編碼美麗微信公眾號已經弄過了很多app了，不管是協議還是外掛，我們都是那麼一路走過來了，在操作的過程中也發現了很多問題就是應用不在乎安全問題帶來的後果，因為安全始終都是不可忽視的問題，辛辛苦苦寫的程式碼被人看的體無完膚對不起自己也對不起公司，所以如果你做了這幾件事至少可