移动应用开发的安全防控思考

1、移动应用开发的安全防控思考技术创新，变革未来移动APP市场分析移动APP漏洞案例移动APP安全现状移动APP安全思考移动APP漏洞类型Q&ACONTENTS移动APP市场分析移动应用数量统计0525350175700我国市场谷歌商店苹果商店163260单位：万67款1截止日期：2016年4月移动安全现状安全现状 -触目惊心高危涌洞中危涌洞低危涌洞15个行业共发现2716501个漏洞移动安全现状以手游为例手游创业火热，2015年总数量增长据Digi-Capital预测，2016年手游市场规模将达到350亿美元近年手游破解、外挂、盗版、乱扣费等现象猖獗不已2015上半年，因手游破解导致行业年损失估

2、算已超20亿人民币移动安全现状01,250,0002,500,0003,750,0005,000,000安智PP助手PC6360手机助手小米应用商店豌豆荚华为应用市场乐市场735,398597,0501,166,9951,196,5951,910,4581,622,3591,330,195 4,934,189从当前市场APP下载情况来看，APP下载渠道占比最高的为第三方应用商店（占比 54%)，其次为终端厂商自建的应用商店（占比34%)，这两大类应用商店是当 前用户下载APP的主要渠道。部分手机应用商店APP涌洞数量移动漏洞类型服务器通信及协议客户端拒绝服务t马丸于敏感信息泄露越权访问设计/逻

3、辑缺陷钓鱼欧骗第三方SDK涌洞移动漏洞类型Webview远程t马丸于涌洞Webview明文存储密马 拒绝服务攻击SharedPrefs任意读写 密钥硬编马风险AES/DES弱加密问题随机函数使用错误WebView不校验证书PendingIntent误用风险 中间人攻击涌洞mainfest文件配置错误 zip文件目录遍历涌洞固定端口监听风险 000移动App漏洞案例XcodeGhost事件WormHole漏洞Android通用拒绝服务漏洞脏牛 “Dirty COW”危害的风险在于，旦被恶意攻击者利用，以获取用户隐私数据，造成用户的登陆密码 敏感数据泄露。此可 等移动App漏洞案例WebView密

4、码明文存储漏洞风险分析开发者WebSettings.setSavePassword(False)系统弹出提示询问是否保存密码不构成漏洞密码保存在私有目录的databases/webview.db攻击者通过提权/XSS等方式获取密码密码泄露户用输入账号密码登录是否YN移动App漏洞案例通信与加密移动App漏洞案例通信与加密移动App漏洞案例通信与加密数据加密算法流程数据签名算法流程移动App漏洞案例通信与加密移动App漏洞案例后台Cookie移动App漏洞案例任意用户登录移动App漏洞案例攻击者通过充值与提现的逻辑漏 洞，直接可以对自己账户使用少量现 金来充入大量的账户现金，再通过提 现功能来实现现金的窃取。业务逻辑漏洞- 任意充值与提现移动App漏洞案例移动App漏洞案例移动App安全思考移动App安全思考安全意识安全编马规范 安全开发环境 安全测试应用市场缺乏监管没有统的审核标准与机制缺乏来自相关管理部门的法律监管约束移动App安全