移动金融应用安全白皮书

前 言AppAnnie0908140AppAppAppApp的AppAppAppAppSDKApp目 录一、移动金融应用的安全背景 1（一）移动互联网高速发展 1（二）移动应用监管政策日趋严格 3（三）5G时代移动金融应用发展 8二、移动金融应用的分布情况 10（一）移动金融应用的地域分布不均 10（二）移动金融应用的应用市场集中度高 11（三）借贷领域移动应用持续发展占据半数市场 11（四）典型细分行业移动应用分布情况 12三、移动金融应用的安全风险 17（一）以数据泄露为代表的高危漏洞风险 17（二）以流氓行为为代表的恶意程序风险 19（三）使用第三方SDK引入安全风险 21（四）违规索权带来的隐私泄露风险 23（五）安全加固不足带来的安全风险 32四、移动金融应用安全创新思路 36（一）以移动金融应用安全为核心的整体设计 36（二）建设符合监管发展的合规检测能力 37（三）全生命周期的移动金融应用安全防护策略 38（四）主动风险感知替代被动响应的防御思维 39五、移动金融应用安全前景展望 42（一）安全政策频出，移动应用安全与基础设施安全齐头并进 42（二）合规升级合法，移动金融应用隐私数据安全市场火热 42（三）感知技术升级，驱动安全业务智能创新 43附录A 金融行业APP地域分布表 44附录B 金融行业APP分类逻辑及典型应用 46附录C TOP10高危漏洞说明 49附录D APP恶意程序类型解释 52附录E 受到恶意程序感染的APP地域分布表 53移动金融应用安全白皮书（2019年）一、移动金融应用的安全背景（一）移动互联网高速发展（CNNIC）44201968.542018259820181.68.472018年298420180.51690%。提速降费”推动移动互联网流量大幅增长，用户月均使用移动流量达1.2553.9GB107.3%““”1移动金融应用安全白皮书（2019年）数据来源：CNNIC中国互联网络发展状况统计调查图1手机网民规模及其占网民比例201910（App）525286中国区2395744如图2所示。数据来源：北京智游网安科技有限公司（爱加密）图2中国市场移动App数量统计2移动金融应用安全白皮书（2019年）20191014150%；54.219%；电子商42.115%13.3体数据如图3所示。数据来源：北京智游网安科技有限公司（爱加密）图3中国市场移动应用类型统计（二）移动应用监管政策日趋严格App近年来，金融科技行业安全整体态势稳定，监管框架逐步完善。中国金融科技行业的发展已从单纯的市场开拓阶段进入到了基于安3移动金融应用安全白皮书（2019年）全风险防范的发展阶段。未来,随着监管框架与安全意识进一步提高，金融科技行业的安全性将进一步提升，整个行业也将实现平稳增长。20176。201932019822发展规划(2019-2021年App移动金融应用相关法律法规的密集颁布和出台，体现了政府对保4移动金融应用安全白皮书（2019年）障移动金融App网络安全的重视和治理移动金融App网络安全的决心，也反映出当前移动金融App安全面临着严峻的形势。2.02019513（2.0”），标志着“2.0”2.0移动互联安全作为网络安全等级保护技术体系的一个重要内容，““”“”、“”和“”2.0移5移动金融应用安全白皮书（2019年）2.0App移动App针对移动AppApp个41432018年5月1日，全国信息安全标准化技术委员会发布《GB/T35273-2017开披露等信息处理环节中的相关行为,旨在遏制个人信息非法收集、滥用、泄漏等乱象的发生,最大程度地保障个人的合法权益和社会公共利益。6移动金融应用安全白皮书（2019年）2019125AppAppApp31AppAppAppAppApp运323月15ppp5AppApp（（AppApp运营App2019617移动金融应用安全白皮书（2019年）201971AppApp201988（关法律法规和标准规范也为监管机构和检测机构等提供了合规检测（三）5G时代移动金融应用发展5G,5G其特性将促进物联网向智能网络的过渡,最终实现智能社会。截至目5G网络的高“8移动金融应用安全白皮书（2019年）5G5G5G5G9移动金融应用安全白皮书（2019年）二、移动金融应用的分布情况20199232133327App。（一）移动金融应用的地域分布不均13002234（AppApp3824金融行业App29.60%21.30%12.96%App60.18%4所示。数据来源：北京智游网安科技有限公司（爱加密）图4 App地域分布情况10移动金融应用安全白皮书（2019年）（二）移动金融应用的应用市场集中度高66926186549651293597358234585000 100005.024.644.123.852.702.692.5991266.841371610.29（AppB），App23259.03%的App557722216.29%66926186549651293597358234585000 100005.024.644.123.852.702.692.5991266.841371610.29应用宝5577应用宝55775577安卓网安智市场其他360华为应用市场历趣市场16.29217160 15000 20000 250000150002000025000数据来源：北京智游网安科技有限公司（爱加密）图5移动金融应用市场分布统计（三）借贷领域移动应用持续发展占据半数市场App（App应用参见附录AppApp36.74%；面11移动金融应用安全白皮书（2019年）P2PApp27.19%消费金融P2P金融数字货币信托

36.7427.1911.3810.083.192.452.001.911.661.421.270.410.200.09

4259326326642553220918981693543261122

1517913444

36253

489860 10000 20000 30000 40000 50000 60000数据来源：北京智游网安科技有限公司（爱加密）图6不同细分领域App数量及占比（四）典型细分行业移动应用分布情况银行类移动应用分布情况本次收录的银行类App1898423款排名App10.54%App8.38%App100712移动金融应用安全白皮书（2019年）数据来源：北京智游网安科技有限公司（爱加密）图7银行类移动App地域数量统计8079727170686810093.743.693.583.581045.481899.96App13.96%96%8079727170686810093.743.693.583.581045.481899.96华为应用市场华为应用市场乐商店百度手机助手安卓市场360市场5577安智市场豌豆荚13.962653002502001500 50数据来源：北京智游网安科技有限公司（爱加密）3002502001500 50图8银行类移动App应用市场分布情况13移动金融应用安全白皮书（2019年）证券类移动应用分布情况本次收录的证券类App425928.88%的17.66%8.24%AppApp3009所示。数据来源：北京智游网安科技有限公司（爱加密）图9证券类移动App地域数量统计68.54%App7.33%的App1014小米应用商店小米应用商店3122822652576.626.226.03豌豆荚7.3342910.076543122822652576.626.226.03豌豆荚7.3342910.0765415.36应用宝360乐商店4.77203乐商店4.77203百度手机助手 4.37 186百度手机助手4.37186小鸟应用商店 4.30 183小鸟应用商店4.30183历趣市场 3.47历趣市场3.47700600500400300148100 200700600500400300148100 2000图10证券类App应用市场分布情况保险类移动应用分布情况本次收录的保险类App220953.51%App100App数据来源：北京智游网安科技有限公司（爱加密）图11保险类移动App地域数量统计15移动金融应用安全白皮书（2019年）App10171.44%App1631511487.386.846.7023322010.559.96148%0.5%；9.96%1631511487.386.846.7023322010.559.96应用宝应用宝努比亚免费市场360市场14.853280 50 100 150 200 250 300 350703.1796860 50 100 150 200 250 300 350703.179686834.353.893.76图12 保险类App应用市场分布情况16移动金融应用安全白皮书（2019年）三、移动金融应用的安全风险（一）以数据泄露为代表的高危漏洞风险报告团队对133327款金融行业App进行扫描，共计检测出19796966021App中，73.23%70.22%存在高App20.36.7个13所示。高危漏洞,70.22%中危漏洞,73.14%低危漏洞,73.03%数据来源：北京智游网安科技有限公司（爱加密）图13金融行业App各等级漏洞情况AppApp的高危93.87%93.44%App危漏洞的App85%1417移动金融应用安全白皮书（2019年）100.0095.0090.0085.0080.0075.0070.0065.0060.0055.0050.00

58.29

67.6474.3367.64

86.87

82.84

77.78

88.88

83.97

87.69

78.0379.8678.0379.86

93.87

93.44

300002500020000150001000050000存在高危漏洞APP占比 存在高危漏洞APP数量数据来源：北京智游网安科技有限公司（爱加密）图14不同细分领域高危漏洞App数量及占比情况ecever风险p3.2%；Janus53.25%53.18%15风险JanusWebViewJavaWebView明文存储密码漏洞RSA权限滥用风险IP数据库注入漏洞H5

53.4253.2553.1845.4041.7741.0838.7635.0528.1722.11

29483

37557

6052855693547775167646729

7122970997709020 15000 30000 45000 60000 75000数据来源：北京智游网安科技有限公司（爱加密）图15高危漏洞类型分布（Top10）18移动金融应用安全白皮书（2019年）（二）以流氓行为为代表的恶意程序风险8217款金App6.16%从恶意程序类型来看（恶意程序类型及说明参加附录D），有82.02%App910%的AppApp165.25.22信息窃取,5.25.2282.02

恶意传播,资费消耗,2

1.250.15系统破坏,0.01数据来源：北京智游网安科技有限公司（爱加密）图16 App恶意程序类型分布情况（一款App可能存在多种病毒）19移动金融应用安全白皮书（2019年）19App8198App33（受到恶意程序感染的App总数30.16%App12.56%App17数据来源：北京智游网安科技有限公司（爱加密）图17受到恶意程序感染的App区域分布情况从App细分领域角度来看，受到恶意程序感染的App数量前三20移动金融应用安全白皮书（2019年）P2PApp41662378949App恶意程序感染的P2P6%18所示。消费金融P2P金融数字货币

8.50%6.56%6.25%2.69%3.64%2.11%2.29%2.63%1.77%0.61%0.83%1.66%0.77%0.00% 11.00% 22.00% 33.00% 44.00% 55.00%病毒APP占比 领域渗透率数据来源：北京智游网安科技有限公司（爱加密）图18各细分领域受到恶意程序感染的App分布情况（三）SDK引入安全风险SDK是SoftwareDevelopmentKit“”，SDKSDKSDK21移动金融应用安全白皮书（2019年）洞、恶意程序、隐蔽收集个人信息等安全问题，进而给嵌入SDK的App带来相应的安全隐患。SDK60%SDKSDKAppSDKSDKSDK27300款金融行业AppSDK，App20.48%App104005个第三方App3.8AppSDK使用情况如图19所示。40.0035.0030.0025.0020.0015.0010.005.001212345678910111213APP占比38.839.533.582.7223.1210.511.880.930.630.202.435.420.20SDK数量占比10.195.002.822.8630.3516.553.451.961.500.527.0117.090.69数据来源：北京智游网安科技有限公司（爱加密）图19不同SDK个数区间对应的App分布情况22移动金融应用安全白皮书（2019年）AppSDKSDK使用AppSDK9.83%8.70%；全行业AppSDK12.86%SDKSDK3.42%0.28%20SDK行业AppSDK在金融行业App80.0070.00

73.11%60.0050.0040.00

3.42.98%3.30.0020.0010.000.00

12.86% 11.60% 10.68% 9.38%28%0.42%8.70% 9.83% 4.66%6.5128%0.42%

5.47% 0.52%0.00% 0.01%框架类 广告类 社交类 统计类 支付类 推送类 地图类 音视频类全行业 金融行业数据来源：北京智游网安科技有限公司（爱加密）图20全行业和金融行业App使用的各类SDK分布对比（四）违规索权带来的隐私泄露风险App23移动金融应用安全白皮书（2019年）App12AppApp超范围获取敏感权限研究发现，12款App均存在不同程度的超范围权限采集现象。这些App共获取了29种高敏感权限、15种中敏感权限、33种低敏感权限。不同敏感等级的隐私权限获取数量如表1所示。表1调研的12款App隐私权限获取情况序号App名称版本号包名所属渠道高敏感中敏感低敏感1中国建设银行4.2.0com.chinamworld.main华为应用市场1810222交通银行3.3.10com.bankcomm.Bankcomm华为应用市场1810223工银融e联3.4.0com.icbc.im华为应用市场1610194中国工商银行.1com.icbc华为应用市场1592024移动金融应用安全白皮书（2019年）序号App名称版本号包名所属渠道高敏感中敏感低敏感5华为钱包00com.huawei.wallet华为应用市场159166中国农业银行4.1.0com.android.bankabciTools169147中国银行6.0.6com.chinamworld.bocmbci华为应用市场109198全能中彩彩票3.2.8com.qnzc.sls_App.activity应用宝127169快乐宝彩票3.2.8com.klb.sls_App.activity应用宝1271610彩运宝彩票-快33.2.8com.cyb.sls_App.activity应用宝1271611草根投资4.2.0.cgtz其他10111212无忧钱包1.1.6com.chuangle.clwy应用宝427）992587102所25移动金融应用安全白皮书（2019年）示。表29款及9款以上App获取的权限列表序号权限类别敏感度权限名获取权限App占比1读取手机状态和身份高敏感READ_PHONE_STATE100%2修改或删除存储卡中的内容高敏感WRITE_EXTERNAL_STORAGE100%3高敏感READ_LOGS91.67%4拍摄照片和录制视频高敏感CAMERA91.67%5高敏感WRITE_SETTINGS91.67%6高敏感CALL_PHONE75%7录制音频高敏感RECORD_AUDIO75%8重启程序高敏感REBOOT75%9访问确认位置信息中敏感ACCESS_FINE_LOCATION100%10更改WLAN状态中敏感CHANGE_WIFI_STATE100%11中敏感ACCESS_COARSE_LOCAT91.67%26移动金融应用安全白皮书（2019年）序号权限类别敏感度权限名获取权限App占比信息ION12中敏感CHANGE_NETWORK_STATE91.67%13中敏感GET_TASKS91.67%14装载和卸载文件系统中敏感MOUNT_UNMOUNT_FILESYSTEMS91.67%15中敏感SYSTEM_ALERT_WINDOW83.33%16查看WLAN状态低敏感ACCESS_WIFI_STATE100%17查看获取网络状态低敏感ACCESS_NETWORK_STATE100%18防止处理器休眠或屏幕变暗低敏感WAKE_LOCK100%19访问互联网权限低敏感INTERNET100%20开机时自动启动低敏感RECEIVE_BOOT_COMPLETED100%21控制振动器低敏感VIBRATE100%22读取设备外部存储空间低敏感READ_EXTERNAL_STORAGE91.67%27移动金融应用安全白皮书（2019年）序号权限类别敏感度权限名获取权限App占比23使用蓝牙低敏感BLUETOOTH91.67%24低敏感SHORTCUT83.33%25更改您的音频设置低敏感MODIFY_AUDIO_SETTINGS83.33%数据来源：北京智游网安科技有限公司（爱加密）由上表可知，所有App均获取两项高敏感权限,一是获取了20196App28移动金融应用安全白皮书（2019年）安全隐患。未严格遵守隐私政策法规41App图21某金融App隐私政策中收集用户指纹、面部等生物信息21App需要。29移动金融应用安全白皮书（2019年）图22某金融App隐私政策中删除个人信息条款根据App22图23某金融App未单独提供隐私政策如图23所示，某借贷类App将隐私政策作为《用户注册服务协30移动金融应用安全白皮书（2019年）议》文件中的一部分存在，违法了隐私政策单独成文的要求。图24某金融App隐私政策中未说明收集信息的用途24App图25某金融App隐私政策中注销账号相关条款如图25所示，某金融App隐私政策要求注销账号时需提供身份31移动金融应用安全白皮书（2019年）正反面照片、个人手持身份证上半身照片及手机营业厅“个人信息”页面截图等敏感信息，违规获取个人隐私的同时，增加了注销难度。26所示。图26某金融App隐私政策中关于第三方服务隐私政策条款App（五）安全加固不足带来的安全风险基于JavaAppApp来AppApp32移动金融应用安全白皮书（2019年）全加固的AppApp17.08%。金融行业App8App未AppApp3602543636039.02%选择腾讯6.62%App27所示：39.0254.36

3.382.27

0.00

0.580.160.080.070.060.010.01

360加固百度加固娜迦加固阿里加固几维加固网秦加固灵御加固数据来源：北京智游网安科技有限公司（爱加密）图27不同加固厂家服务的App占比33移动金融应用安全白皮书（2019年）各省份移动应用加固情况相近AppApp28所示。数据来源：北京智游网安科技有限公司（爱加密）图28加固App地域分布5省App27个省份App加固比例17.08%，其中山西省金融行业App加固比例最高，达到41.65%2934移动金融应用安全白皮书（2019年）山西河北山西河北广西新疆山东青海吉林安徽宁夏四川加固APP数量182293134795321012535625627省份占比41.6538.2537.0234.0533.6933.3333.0732.9932.8932.84加固APP占比0.801.290.590.352.340.040.551.560.112.75

45.0040.0035.0030.0025.0020.0015.0010.005.000.00数据来源：北京智游网安科技有限公司（爱加密）图29加固App数量省份占比前十分布借贷类AppP2PApp13.33%AppApp43.83%28.24%26.58%，App30所示。45.00%36.00%27.00%18.00%9.00%0.00%

20.49

21.46

43.83

16.18

17.61

18.61

17.83

28.24

23.05

26.58

13.33

20.80

10.41

23.47

40.00%30.00%20.00%10.00%0.00%信托互联网第…信托互联网第…财务管理P2P金融彩票数据来源：北京智游网安科技有限公司（爱加密）图30各金融细分领域App加固分布情况35移动金融应用安全白皮书（2019年）四、移动金融应用安全创新思路（一）以移动金融应用安全为核心的整体设计AppAppSDKAppApp36移动金融应用安全白皮书（2019年）App/AppApp与服务（二）建设符合监管发展的合规检测能力个人信息安全检测能力AppAppApp37移动金融应用安全白皮书（2019年）实。恶意行为检测能力App是否存URLAppSDK、插全面保障App（三）全生命周期的移动金融应用安全防护策略事前预防AppApp38

移动金融应用安全白皮书（2019年）AI事后分析（四）主动风险感知替代被动响应的防御思维如从常见的设备风险、环境风险、账号风险、行为风险等维度，主动对于移动金融应用风险进行感知。设备风险感知环境风险感知移动端设备最大特点就是移动性，同一台设备可能频繁的在不同39移动金融应用安全白皮书（2019年）4G/5G等。通账号风险感知行为风险感知App40移动金融应用安全白皮书（2019年）41移动金融应用安全白皮书（2019年）五、移动金融应用安全前景展望（一）安全政策频出，移动应用安全与基础设施安全齐头并进2.0（二）合规升级合法，移动金融应用隐私数据安全市场火热102542移动金融应用安全白皮书（2019年）“”“造成严重后果”。在已知的数据泄露案件中泄露数据很少低于百万条，以该条的规定和目前的形势来看，几乎是只要发生数据泄露就属于“造成严重后果”。监管加强的同时给行业创新提供了动力，几乎所有安全厂（三）感知技术升级，驱动安全业务智能创新43移动金融应用安全白皮书（2019年）附录A 金融行业App地域分布表序号省份App数量占比1广东3946429.60%2湖北2840021.30%3北京1685712.64%4江苏92926.97%5上海85166.39%6浙江57164.29%7福建41353.10%8湖南26672.00%9四川19091.43%10河南16201.22%11山东15791.18%12陕西12790.96%13安徽10790.81%14重庆9160.69%15河北7660.57%16江西7550.57%17云南6740.51%18辽宁6480.49%19贵州4610.35%44移动金融应用安全白皮书（2019年）序号省份App数量占比20天津4420.33%21山西4370.33%22吉林3780.28%23广西3620.27%24黑龙江3460.26%25内蒙古3260.24%26海南3230.24%27新疆2320.17%28甘肃2050.15%29宁夏760.06%30西藏470.04%31台湾400.03%32香港350.03%33青海300.02%34澳门100.01%数据来源：北京智游网安科技有限公司（爱加密）45移动金融应用安全白皮书（2019年）附录B 金融行业App分类逻辑及典型应用序号金融分类分类逻辑应用名称版本号网页链接1消费金融仅面向消费者个人的借贷类应用云科贷管家1.0.30L5-XWhttps:///soft/505642.html吉利贷1.5.1https:///ruanjian/1887.html2彩票博彩类应用快3v1.6.2/myApp/detail.htm?apkName=com.lottery.tisscasdqpcddok彩票v2.5.5/down/261210.html3投资理财应用。现货黄金投资平台v1.0/az/418348.html朵朵理财1.32/detail?pid=34&cid=40&docid=-83156434526366887954P2P金融除消费者个人外，还包括面向小微企业、个体工商户等其他集体的借贷类应用宜人贷手机版1.0https:///a_soft/124275.html猪金贷v1.0.0/myApp/detail.htm?apkName=com.zhujindai.p2p.ad35证券证券公司主持开发可用于证券投资理财活动的应用软件平安证券https://Appstore.huawe/App/C10308911国金太阳5.00.01/soft/GuoJinZheng_80379/6财务管理记账、收银、资产管易收钱App1.0https:///a_soft/36445.html46移动金融应用安全白皮书（2019年）序号金融分类分类逻辑应用名称版本号网页链接理类应用传贝收银3.0.8/myApp/detail.htm?apkName=com.wuzhenpay.App.chuanbei7股票专业炒股软件股票配资1.0/Apps/com.myApp.gppeizis牛股王股票1.0https:///a_soft/1917.html8保险提供各种保险产品的应用人保财险App1.0https:///a_soft/27821.html中国人寿App1.0https:///a_soft/35312.html9银行银行主持开发或为银行开发的用于各类银行服务的应用龙里国丰村镇银行1.4/downinfo/381780.htmle1.0https:///a_soft/8492.html10数字货币专注虚拟货币交易投资服务的应用FOTA方图App1.0.0/az/1099977.html币峰befong1.0.0https:///App/bifengApp/11外汇专注外汇交易投资应用外汇宝软件1.0https:///a_soft/37276.htmlMT4外汇中文版v1.0.4/myApp/detail.htm?apkName=cc.yswebportal.ahpt.m12互联网第三方支付（壹钱包V4.3.1/azrj/279183.html易生支付2.4.4http://os-/rj/47移动金融应用安全白皮书（2019年）序号金融分类分类逻辑应用名称版本号网页链接288175.shtml13信托专业信托公司开发用于帮助客户进行理财投资的应用软件华润信托1.8.1https://Appstore.huawe/App/C100127841钱景信托管家https://os-/rj/302384.shtml48移动金融应用安全白皮书（2019年）附录C Top10高危漏洞说明序号恶意程序检测目的类型说明Google201712告中披露“Janus”漏洞（漏洞编号：CVE-2017-13156）。该漏洞可以让攻击者绕过安卓系统的signatureschemeV1签名机制，直接检测应用是对App进行篡改。由于安卓系统的其他安全机1Janus漏洞否存在Janus洞。可以在正常应用中植入恶意代码，可替代原有的App做下载、更新。安装这些仿冒App后，攻击者可以窃取用户的账号、密码等敏感信息；或者植入木马病毒，导致手机被ROOT，甚至被远程操控。AndroidAPIlevel17以及之前的版本，由于程序没有正确限制使用addJavascriptInterface方法，远程攻击者可2WebView远程代码执行漏洞否存在WebViewJavaReflectionAPIJavaWebViewJavaScript漏洞。个接口可以直接与本地的Java接口进行交互。导致手机被安装木马程序，发送扣费短信，通信录或者短信被窃取，甚至手机被远程控制。BroadcastReceiver组件可动态注册，即在代码中使用registerReceiver()方法注册BroadcastReceiver，只有当registerReceiver()的代码执行到了才进行注3险检测应用是否存在动态注册Receiver风unregisterReceiver()方registerReceiver险。App访问，向其传递Intent来执行特定的功能。因此，动态注册的BroadcastReceive可能导致拒绝服务攻击、App数据泄漏或是越权调用等风险。49移动金融应用安全白皮书（2019年）序号恶意程序检测目的类型说明WebView组件默认开启了密码保存功能，会提示检测应用的用户是否保存密码，当用户选择保存在WebViewWebView明WebView组中输入的用户名和密码，则会被明文保存到应4文存储密码件中是否使用数据目录的databases/webview.db中。攻击漏洞用明文保存者可能通过root的方式访问该应用的WebView用户名及密数据库，从而窃取本地明文存储的用户名和密码。码。检测应用代将IP地址硬编码在代码中，使得变量不易改5IP检测IPIPIP址。起来比较繁琐。JavaJava段代码，保护里面的Java代码不被非法修改或6Java代码加壳检测Java码是否加反编译。Java文件未进行加壳保护，可能面临被反编译的风险。攻击者通过baksmali/apktool/dex2jar等反编译工具得到壳。应用程序的代码，导致代码逻辑泄露、重要数据加密代码逻辑泄露等。ContentProvider组件是Android应用的重要组件之一，管理对数据的访问，主要用于不同的应用程序之间实现数据共享的功能。SQLite数据库和文件数据是ContentProvider的数据检测应用是源。当ContentProvider的数据源是SQLite7数据库注入漏洞否存在数据库注入漏Provider（export为“true”），如果query()中使用拼接字符洞。串形式构造的SQL语句去查询底层SQLite数据库时，则容易发生SQL注入。攻击者可以利用此漏洞攻击应用的本地数据库，导致存储的敏