移动APP背后的安全问题

-Seay12:22移动APP背后的安全问题尹毅关于我尹毅ID：Seay安全宝安全主管SafeKeyTeam成员Seay源代码审计系统作者安全对象的转变PC安全WEB安全移动安全移动APP安全市场–缺口大研究人员极少移动安全需求大针对性公司少移动APP平台AndroidiosPalmunbutuBlackBerryWPBADAsymbianapp安全研究现状-本地安全移动远程控制木马恶意吸费私推广告应用破解外挂开发敏感隐私信息窃取应用本地进程注入盗版应用恶意钓鱼人们忽视服务端安全服务端安全漏洞案例–SQL注入漏洞案例–XSS盲打后台漏洞案例–远程代码执行漏洞案例–接口权限未控制服务端常见漏洞SQL注入漏洞中间件/server漏洞代码/命令执行漏洞任意文件包含/操作漏洞敏感文件备份越权操作漏洞弱口令漏洞。。。。。。。。怎么找到服务端漏洞方法一反编译客户端dex2jar反编译源码dex2jar+jdgui修改apk为zip扩展名解压出classes.dex文件dex2jar反编译源码反编译成jar包dex2jar反编译源码泄露Java源码挖漏洞Apktool反编译工具：apktool参数d反编译资源apktool反编译结果smali反汇编代码res资源文件assets配置文件lib库文件apktool反编译结果静态分析的一个难点URL不完整语法分析拼接成品可行性案例–Seay源码审计系统成品可行性案例–SeayKillshell后门查杀三胖说妥妥的方法二http[s]代理抓包Burpsuite代理监听APP端交互操作抓包分析漏洞扫描利用APP渗透的猥琐思路隐藏在APP里面的API漏洞及子域名通过源码查找URL等信息反编译APP寻找子域名及真实IPCDN？集合子域名挖出真实IP实现自动化漏洞挖掘自动化反编译提取信息云集群黑盒扫描Android自动化分析Demohttp[s]抓包漏洞扫描云集群黑盒扫描http[s]抓包测试效果这些漏洞都能找到联系方式微博:@Seay_北伊博客:邮箱:[e-mail]