搜索

[10383] 2016-08-08_APP漏洞自动化扫描专业评测报告（上篇）

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2016-08-08_APP漏洞自动化扫描专业评测报告（上篇） A P P 漏 洞 自 动 化 扫 描 专 业 评 测 报 告 （ 上 篇 ） S u n n i e l i   F r e e B u f   2 0 1 6 - 0 8 - 0 8 * 本 文 原 创 作 者 ： S u n n i e l i ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 一 、 前 言 随 着 A n d r o i d 操 作 系 统 的 快 速 发 展 ， 运 行 于 A n d r o i d 之 上 的 A P P 如 雨 后 春 笋 般 涌 现 。 由 于 一 些 A P P 的 开 发 者 只 注 重 A P P 业 务 功 能 的 实 现 ， 对 A P P 可 能 出 现 安 全 问 题 不 够 重 视 ， 使 得 A P P 存 在 较 多 的 安 全 隐 患 。 国 内 一 些 安 全 厂 商 为 这 些 开 发 者 提 供 了 各 种 各 样 的 安 全 服 务 ， 包 括 A P P 的 加 固 、 安 全 漏 洞 分 析 等 。 目 前 在 业 界 有 很 多 自 动 化 检 测 目 前 在 业 界 有 很 多 自 动 化 检 测 A P P 安 全 性 的 在 线 扫 描 平 台 。 为 了 了 解 目 前 国 内 移 动 安 全 性 的 在 线 扫 描 平 台 。 为 了 了 解 目 前 国 内 移 动 A P P 在 线 漏 洞 扫 描 平 台 的 发 展 情 况 ， 我 在 线 漏 洞 扫 描 平 台 的 发 展 情 况 ， 我 进 行 了 一 次 移 动 安 全 扫 描 平 台 的 评 测 分 析 ； 主 要 从 漏 洞 项 对 比 、 扫 描 能 力 对 比 以 及 扫 描 结 果 这 三 个 方 向 来 对 比 。 进 行 了 一 次 移 动 安 全 扫 描 平 台 的 评 测 分 析 ； 主 要 从 漏 洞 项 对 比 、 扫 描 能 力 对 比 以 及 扫 描 结 果 这 三 个 方 向 来 对 比 。 希 望 此 次 的 调 研 结 果 可 以 为 读 者 提 供 更 加 可 靠 的 安 全 漏 洞 扫 描 服 务 建 议 。 希 望 此 次 的 调 研 结 果 可 以 为 读 者 提 供 更 加 可 靠 的 安 全 漏 洞 扫 描 服 务 建 议 。 二 、 分 析 对 象 二 、 分 析 对 象 这 一 章 主 要 介 绍 需 要 对 比 的 扫 描 平 台 和 需 要 测 试 的 A P P 样 本 。 2 . 1   对 比 平 台 对 比 平 台 扫 描 平 台 扫 描 平 台 网 址 网 址 阿 里 聚 安 全 漏 洞 扫 描 h t t p : / / j a q . a l i b a b a . c o m / 3 6 0 A P P 漏 洞 扫 描 h t t p : / / d e v . 3 6 0 . c n / m o d / v u l s c a n 腾 讯 金 刚 审 计 系 统 h t t p : / / s e r v i c e . s e c u r i t y . t e n c e n t . c o m / k i n g k o n g 百 度 移 动 云 测 试 中 心 h t t p : / / m t c . b a i d u . c o m / s t a r t T e s t / s a f e A p p R i s k   S c a n n e r h t t p s : / / a p p r i s k . n e w s k y s e c u r i t y . c o m 爱 加 密 h t t p : / / w w w . i j i a m i . c n / 梆 梆 加 固 h t t p s : / / w w w . b a n g c l e . c o m / A p p T e s t 掌 测 h t t p : / / w w w . a p p s t e s t . c n / T e s t I n 测 试 平 台 w w w . t e s t i n . c n / 腾 讯 优 测 h t t p : / / u t e s t . q q . c o m / 爱 内 测 h t t p : / / w w w . i n e i c e . c o m / A p p S c a n h t t p : / / w w w - 0 3 . i b m . c o m / s o f t w a r e / p r o d u c t s / z h / a p p s c a n - m o b i l e - a n a l y z e r F o r t i f y   S C A h t t p : / / w w w 8 . h p . c o m / u s / e n / s o f t w a r e - s o l u t i o n s / a p p l i c a t i o n - s e c u r i t y / 对 上 述 扫 描 平 台 ， 我 都 上 传 A P P 进 行 了 测 试 ， 简 单 比 较 它 们 的 扫 描 结 果 。 最 后 ， 综 合 检 测 结 果 、 它 们 在 漏 洞 扫 描 领 域 的 知 名 度 以 及 它 们 的 用 户 数 量 ， 我 选 取 表 中 前 五 个 扫 描 平 台 ， 即 阿 里 聚 安 全 、 3 6 0 A P P 漏 洞 扫 描 、 金 刚 、 百 度 和 A p p R i s k 进 行 详 细 的 对 比 分 析 ； 由 于 金 刚 和 优 测 都 是 腾 讯 旗 下 的 产 品 ， 所 以 我 选 择 了 专 注 于 A P P 审 计 的 金 刚 审 计 系 统 。
爱 加 密 扫 描 速 度 很 快 ， 但 整 个 漏 洞 扫 描 就 是 为 其 加 密 模 块 做 铺 垫 ， 扫 描 项 非 常 简 单 ， 没 有 实 际 的 漏 洞 扫 描 ， 只 是 简 单 的 字 符 串 匹 配 ， 故 扫 描 速 度 非 常 快 。 梆 梆 加 密 扫 描 速 度 也 比 较 快 ， 扫 描 内 容 比 爱 加 密 要 丰 富 ， 一 共 1 4 项 ， 包 含 了 一 些 高 危 漏 洞 的 扫 描 ， 如 与 W e b V i e w 相 关 的 一 些 漏 洞 等 ， 但 是 其 漏 洞 扫 描 模 块 也 是 为 了 给 自 己 的 加 固 服 务 做 铺 垫 ， 所 以 没 有 选 取 这 两 家 。 A p p T e s t 掌 测 测 试 成 本 太 高 ， 每 次 测 试 2 9 9 9 元 起 ， 所 以 没 有 对 它 进 行 详 细 分 析 。 腾 讯 优 测 的 扫 描 结 果 与 金 刚 非 常 相 似 ， 但 没 有 金 刚 详 细 ； 有 时 候 扫 描 结 果 只 有 漏 洞 概 述 ， 没 有 漏 洞 的 详 细 信 息 ， 也 没 有 修 复 建 议 。 爱 内 测 的 扫 描 结 果 非 常 简 略 ， 只 判 断 是 否 存 在 漏 洞 ， 而 不 统 计 漏 洞 的 个 数 以 及 漏 洞 位 置 。 A p p S c a n 和 F o r t i f y   S C A 是 国 外 的 扫 描 平 台 ， 分 别 属 于 I B M 和 惠 普 。 我 分 析 了 它 们 的 扫 描 结 果 ， A p p S c a n 的 免 费 版 本 检 测 结 果 没 有 多 大 的 参 考 价 值 ， 重 要 的 漏 洞 信 息 都 没 有 显 示 ， 如 果 测 试 时 间 超 过 4 个 小 时 ， 则 会 中 断 扫 描 服 务 。 F o r t i f y   S C A 的 扫 描 侧 重 W e b 应 用 程 序 ， 虽 然 也 可 以 扫 描 A n d r o i d 程 序 ， 但 扫 描 结 果 以 W e b 漏 洞 为 主 ， 差 强 人 意 ， 而 且 在 免 费 试 用 1 5 天 后 ， 每 测 试 一 个 A P P 需 要 花 费 2 0 0 0 美 元 ， 所 以 我 没 有 详 细 分 析 这 两 个 平 台 。 以 下 简 单 统 计 了 各 个 平 台 的 收 费 情 况 ， 如 下 表 ： 以 下 简 单 统 计 了 各 个 平 台 的 收 费 情 况 ， 如 下 表 ： 扫 描 平 台 扫 描 平 台 是 否 收 费 是 否 收 费 备 注 备 注 阿 里 聚 安 全 漏 洞 扫 描 免 费 完 全 免 费 3 6 0 A P P 漏 洞 扫 描 免 费 完 全 免 费 腾 讯 金 刚 审 计 系 统 免 费 完 全 免 费 百 度 移 动 云 测 试 中 心 9 . 9 元 / 次 新 用 户 可 以 获 得 一 张 9 元 代 金 券 ， 只 能 用 百 度 钱 包 支 付 剩 余 的 0 . 9 元 A p p R i s k   S c a n n e r   不 详 普 通 账 户 可 以 测 试 2 个 a p p ， 随 后 可 以 通 过 可 以 通 过 邮 件 联 系 A p p R i s k 升 级 账 户 爱 加 密 免 费 漏 洞 扫 描 主 要 为 其 加 密 服 务 做 推 广 ， 扫 描 能 力 很 差 梆 梆 加 固 免 费 漏 洞 扫 描 主 要 为 其 加 密 服 务 做 推 广 ， 扫 描 能 力 较 差 A p p T e s t 掌 测 2 9 9 9 元 / 次 A p p T e s t 掌 测 还 有 其 他 测 试 服 务 ， 收 费 标 准 不 同 ， 安 全 测 试 是 2 9 9 9 元 / 次 T e s t I n 测 试 平 台 2 0 0 0 元 / 次 安 全 扫 描 服 务 需 要 填 写 非 常 详 细 的 申 请 表 才 有 机 会 获 得 1 次 试 用 服 务 腾 讯 优 测   2 0 0 元 / 次 新 用 户 免 费 使 用 一 次 。 通 过 U 币 的 形 式 付 款 ， 1 U 币 = 1 元 爱 内 测 免 费 爱 内 测 免 费 版 主 要 为 其 定 制 化 检 测 做 广 告 A p p S c a n   混 合 A p p S c a n 将 用 户 分 为 免 费 账 户 和 标 准 账 户 ， 免 费 账 户 的 扫 描 结 果 简 单 ； 标 准 账 户 可 以 按 次 收 费 也 可 以 按 月 收 费
F o r t i f y   S C A 2 0 0 0 美 元 / 个 新 用 户 免 费 试 用 1 5 天 ， 超 过 1 5 天 后 每 测 试 一 个 A P P 需 要 2 0 0 0 美 元 ， 一 年 内 可 对 同 一 个 A P P 进 行 多 次 测 试 扫 描 平 台 扫 描 平 台 是 否 收 费 是 否 收 费 备 注 备 注 2 . 2   测 试 样 本 测 试 样 本 测 试 样 本 ： 名 称 名 称   版 本 版 本 W i F i 万 能 钥 匙 4 . 0 . 9 墨 迹 天 气 5 . 0 9 1 6 . 0 2 新 浪 微 博 6 . 7 . 0 测 试 a p p 无 手 机 百 度 7 . 4 通 过 上 传 精 心 构 造 的 包 含 各 种 漏 洞 的 “ 测 试 A P P ” ， 测 试 它 们 的 扫 描 能 力 ， 随 后 上 传 应 用 市 场 中 下 载 量 较 大 的 应 用 程 序 进 行 实 际 测 试 。 由 于 受 时 间 和 资 源 的 限 制 ， 并 未 大 规 模 上 传 应 用 进 行 测 试 ， 也 只 是 详 细 对 比 了 W i F i 万 能 钥 匙 的 扫 描 结 果 。 因 此 扫 描 结 果 有 些 许 的 片 面 性 ， 但 总 体 反 映 各 个 扫 描 平 台 的 检 测 能 力 。 三 、 总 体 能 力 对 比 三 、 总 体 能 力 对 比 3 . 1   扫 描 时 间 对 比 扫 描 时 间 对 比 以 下 列 表 各 个 扫 描 平 台 扫 描 时 间 的 对 比 ， 金 刚 只 能 检 测 5 0 M 以 内 的 A P P ， 所 以 没 有 新 浪 微 博 的 检 测 时 间 ， 而 百 度 每 检 测 一 次 收 费 9 . 9 元 ， 而 且 没 有 记 录 扫 描 时 间 ； 受 限 于 时 间 和 经 费 ， 没 有 再 次 检 测 A P P 以 获 取 扫 描 时 间 ， 单 位 ： 分 。 阿 里 聚 安 全 阿 里 聚 安 全 3 6 0 百 度 百 度 金 刚 金 刚 A p k r i s k W i F i 万 能 钥 匙 （ 5 . 3 8 M ） 6 4 5 8 无 1 3 9 5 3 墨 迹 天 气 （ 1 4 . 9 M ） 1 6 1 2 5 6 无 1 5 7 7 4 手 机 百 度 （ 3 6 . 8 M ） 2 1 2 6 1 无 7 1 0 7 新 浪 微 博 （ 5 3 . 2 M ） 4 5 1 1 1 2 无 无 8 补 充 一 下 ， 时 间 的 获 取 是 以 扫 描 界 面 内 对 应 A P P 给 出 的 或 者 是 以 收 到 扫 描 结 束 通 知 为 依 据 的 。 可 以 看 出 ， 阿 里 聚 安 全 和 A p p R i s k 的 扫 描 时 间 与 A P P 的 大 小 成 正 比 ， 而 3 6 0 和 金 刚 没 有 明 显 的 规 律 。 当 用 户 把 A P P 投 入 阿 里 聚 安 全 和 A p p R i s k 中 扫 描 时 ， 可 以 根 据 A P P 的 大 小 预 测 大 致 的 扫 描 时 间 ； 而 投 入 到 3 6 0 和 金 刚 时 却 无 法 预 测 大 致 的 扫 描 时 间 。 3 . 2   漏 洞 项 对 比 漏 洞 项 对 比 3 6 0 将 许 多 类 型 相 同 的 漏 洞 分 成 多 个 具 体 的 漏 洞 ， 我 将 其 合 并 一 下 （ 组 件 导 出 归 为 一 类 ， 文 件 读 写 归 为 一 类 ， S Q L 注 入 归 为 一 类 ） 。 从 具 体 漏 洞 个 数 对 比 表 可 以 看 出 ， 五 个 产 品 相 同 的 扫 描 项 有 9 种 ， 其 中 四 个 产 品 相 同 的 扫 描 项 有 7 种 。 总 的 来 说 ， 这 五 个 产 品 基 本 覆 盖 了 目 前 A n d r o i d 应 用 程 序 可 能 出 现 的 所 有 漏 洞 。
总 体 覆 盖 量 排 名 ： 阿 里 聚 安 全 （ 3 5 个 ） > 3 6 0 （ 3 0 个 ） > 百 度 （ 2 6 个 ） > 金 刚 （ 2 3 个 ） > A p k r i s k （ 2 0 个 ） 3 . 3   扫 描 能 力 对 比 扫 描 能 力 对 比 最 后 我 用 自 己 编 写 的 测 试 A P P 测 试 各 个 扫 描 平 台 的 扫 描 能 力 。 这 些 扫 描 能 力 主 要 分 为 静 态 检 测 能 力 和 动 态 检 测 能 力 。 静 态 检 测 能 力 包 括 检 测 隐 藏 d e x 、 过 程 间 分 析 、 正 向 分 析 、 逆 向 分 析 ； 动 态 测 试 主 要 是 指 测 试 拒 绝 服 务 漏 洞 的 能 力 ， 拒 绝 服 务 漏 洞 又 可 以 划 分 为 ： 空 I n t e n t 引 起 的 拒 绝 服 务 ， 强 制 类 型 转 换 引 起 的 拒 绝 服 务 以 及 序 列 化 对 象 导 致 的 拒 绝 服 务 。 由 于 这 些 检 测 能 力 决 定 了 扫 描 器 扫 描 结 果 的 精 度 和 准 度 ， 因 此 我 详 细 分 析 了 各 个 扫 描 平 台 的 扫 描 能 力 。 更 多 精 彩 内 容 点 击 阅 读 原 文 可 见 。 由 于 内 容 太 长 ， 我 将 扫 描 能 力 和 扫 描 结 果 单 独 作 为 下 篇 分 享 出 来 ， 敬 请 关 注 该 专 题 在 更 多 精 彩 内 容 点 击 阅 读 原 文 可 见 。 由 于 内 容 太 长 ， 我 将 扫 描 能 力 和 扫 描 结 果 单 独 作 为 下 篇 分 享 出 来 ， 敬 请 关 注 该 专 题 在 F r e e B u f 的 下 集 连 载 。 的 下 集 连 载 。 * 本 文 原 创 作 者 ： S u n n i e l i ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理