XX平台移动端安全测试结果记录单模板

PAGEXXX公司XX系统移动端安全测试项目结果记录单测试基本信息APP名称域名或者IP是否使用CDNAPP版本开发语言数据库类型WEB容器版本号操作系统版本号内网or外网测试帐号测试人员测试时间备注

安全风险分析XXX风险分析会话重放测试测试编号测试项目是否通过测试定性Mob_Web_09会话重放测试√是□否低危测试过程：风险分析：加固建议：测试通过项Activity组件安全检测测试编号测试项目是否通过测试定性Mob_APP_01Activity组件安全检测√是□否中危测试目的检测导出的组件是否可以被第三方app任意调用。测试步骤检测Activity是否能被导出、查看、利用。测试结果该应用中不存在可以任意导出的Activity组件。BroadcastReceiver组件安全检测测试编号测试项目是否通过测试定性Mob_APP_02BroadcastReceiver组件安全检测√是□否中危测试目的检测BroadcastReceiver是否会被监、劫持。测试步骤检测Receiver是否能被导出、查看、利用，导致隐私信息泄露。测试结果BroadcastReceiver不会被监、劫持。Services组件安全检测测试编号测试项目是否通过测试定性Mob_APP_03Services组件安全检测√是□否中危测试目的检测Service是否会被权限攻击。测试步骤检测service是否能被导出、查看、利用，导致隐私信息泄露。测试结果Service组件与其它app没有共享数据或交互。ContentProvider组件安全检测测试编号测试项目是否通过测试定性Mob_APP_04ContentProvider组件安全检测√是□否中危测试目的检测ContentProvider是否会被权限攻击。测试步骤检测ContentProvider是否能被导出、查看、利用。测试结果ContentProvider组件exported设置为false。allowBackup安全漏洞测试编号测试项目是否通过测试定性Mob_APP_05allowBackup安全漏洞√是□否低危测试目的测试allowBackup是否关闭。测试步骤反编译安卓程序包，查看allowBackup设置。测试结果allowBackup配置为False。APP应用权限检测测试编号测试项目是否通过测试定性Mob_APP_06APP应用权限检测√是□否低危测试目的检测APP是否存在权限滥用问题。测试步骤查看系统权限申请情况，安装时查看系统提示的安装权限。测试结果APP应用权限申请较合理，保证权限的最小化。代码混淆检测测试编号测试项目是否通过测试定性Mob_SRC_01代码混淆检测√是□否低危测试目的验证被测APP是否具有代码混淆功能。测试步骤查看反编译的源代码是否进行了混淆。测试结果源代码进行了混淆处理。是否易被调试测试编号测试项目是否通过测试定性Mob_SRC_02是否易被调试√是□否低危测试目的验证被测APP是否易被调试。测试步骤查看debuggable设置。测试结果APP不能被调试DEX保护检测测试编号测试项目是否通过测试定性Mob_SRC_03DEX保护检测√是□否低危测试目的检测程序可执行文件Dex是否做加密处理。测试步骤检查是否能够查看smali代码。测试结果Dex文件已经进行了加密保护。SO文件保护检测测试编号测试项目是否通过测试定性Mob_SRC_04SO文件保护检测√是□否低危测试目的检测程序的本地库文件是否做加密处理。测试步骤对So文件进行反编译。测试结果安装包中so文件进行了压缩、加壳保护。程序完整性检测测试编号测试项目是否通过测试定性Mob_SRC_05程序完整性检测√是□否中危测试目的检测程序是否进行完整性校验。测试步骤检测apk是否表现出检测完整性的操作。测试结果apk程序进行了程序完整性检测，无法篡改回编。日志信息泄露安全检测测试编号测试项目是否通过测试定性Mob_Data_01日志信息泄露安全检测√是□否中危测试目的检测发布应用中是否包含不应该包含的日志信息。测试步骤检测代码中是否存在应用发布时没有移除日志信息。测试结果应用输出的日志信息不包含敏感信息。本地敏感信息明文存储测试编号测试项目是否通过测试定性Mob_Data_02本地敏感信息明文存储√是□否中危测试目的验证被测APP是否在本地存储敏感信息等。测试步骤检测安装目录内的敏感信息。测试结果本地存储文件中无敏感信息泄漏。是否对本地数据库进行加密测试编号测试项目是否通过测试定性Mob_Data_03是否对本地数据库进行加密√是□否中危测试目的验证被测APP是否对本地数据库进行加密。测试步骤验证被测APP是否对本地数据库进行加密。测试结果无法打开本地数据库或无法查看本地数据库数据。SQL注入测试测试编号测试项目是否通过测试定性Mob_Web_01SQL注入测试√是□否高危测试目的检测远端服务器接口是否存在SQL注入漏洞。测试步骤检测远端服务器接口是否存在SQL注入漏洞。测试结果不存在SQL注入，无法获取数据库信息。XSS跨站脚本攻击测试测试编号测试项目是否通过测试定性Mob_Web_02XSS跨站脚本攻击测试√是□否高危测试目的测试系统是否对用户输入的非法字符进行过滤。测试步骤测试系统是否对用户输入的非法字符进行过滤。测试结果插入的代码不被浏览器解析执行。上传漏洞测试测试编号测试项目是否通过测试定性Mob_Web_03上传漏洞测试√是□否高危测试目的检测能否上传Web脚本，导致代码被执行。测试步骤尝试上传脚本文件等，绕过限制进行上传。测试结果无法上传脚本文件。越权测试测试编号测试项目是否通过测试定性Mob_Web_04越权测试√是□否高危测试目的检测APP软件在查询时是否存在越权漏洞。测试步骤检测APP软件在查询时是否存在越权漏洞。测试结果用户只有查看自己信息的权限，系统对访问权限进行严格限制。命令执行测试测试编号测试项目是否通过测试定性Mob_Web_05命令执行测试√是□否高危测试目的检测能否通过网页脚本中的一些函数执行系统命令。测试步骤使用测试语句对服务器端的命令执行函数进行测试。测试结果服务端对用户输入进行了过滤，无法执行系统命令。敏感信息明文传送测试编号测试项目是否通过测试定性Mob_Web_06敏感信息明文传送√是□否中危测试目的验证通讯过程中的数据是否加密。测试步骤拦截数据包查看数据是否加密。测试结果在拦截的数据包内，未发现明文的敏感信息。验证码设计缺陷测试编号测试项目是否通过测试定性Mob_Web_07验证码设计缺陷√是□否中危测试目的检测APP验证码机制是否完善。测试步骤检测APP验证码机制。测试结果验证码机制完善，不存在安全隐患。未授权访问测试 测试编号测试项目是否通过测试定性Mob_Web_08未授权访问测试√是□否高危测试目的检测APP软件权限管理模式设计是否合理。测试步骤检测APP软件权限管理模式设计是否合理。测试结果未登录的用户不允许访问。会话重放测试测试编号测试项目是否通过测试定性Mob_Web_09会话重放测试√是□否低危测试目的测试系统是否具有防重放攻击措施。测试步骤将数据包进行重复发送，查看服务器的响应。测试结果系统能够有效鉴别每次操作请求是否已经提交。设计缺陷/逻辑错误测试编号测试项目是否通过测试定性Mob_Web_10设计缺陷/逻辑错误√是□否高危测试目的检测系统功能模块和业务逻辑是否安全。测试步骤对系统功能模块和业务逻辑进行测试，查看是否存在设计缺陷。测试结果未检测到该项风险。http方法测试测试编号测试项目是否通过测试定性Mob_Web_11http方法测试√是□否低危测试目的检测服务器是否开启了危险的http方法。测试步骤使用OPTIONS检测服务器是否开启了危险的http方法。测试结果未检测到该项风险。身份信息维护方式测试测试编号测试项目是否通过测试定性Mob_Web_12身份信息维护方式测试√是□否低危测试目的测试用于用户身份维护或识别的方式是否设计合理。测试步骤测试用于用户身份维护或识别的方式是否设计合理。测试结果未检测到该项风险。用户登录失败测试测试编号测试项目是否通过测试定性Mob_Web_13用户登录失败测试√是□否中危测试目的验证登录过程中是否限制失败次数。测试步骤登录手机客户端，输入账号与验证码，连续输入错误的密码，查看客户端反应。测试结果未检测到该项风险。WEB服务器控制台测试测试编号测试项目是否通过测试定性Mob_Web_14WEB服务器控制台测试√是□否高危测试目的检查是否部署了Web服务器的控制台，控制台是否存在默认账号、口令。测试步骤根据Web服务器的版本信息，破解默认的账号、口令。测试结果服务器控制台未使用弱口令。敏感接口遍历测试测试编号测试项目是否通过测试定性Mob_Web_15敏感接口遍历测试√是□否低危测试目的检查有无泄漏的敏感目录。测试步骤使用枚举方式枚举敏感目录。测试结果没有容易被猜解到的敏感目录。端口开放测试测试编号测试项目是否通过测试定性Mob_Web_16端口开放测试√是□否低危测试目的检测应用服务器是否开启了不必要的端口。测试步骤探测服务器开放的端口。测试结果服务器仅开放需要的端口，关闭没有使用的端口。默认账号/弱口令测试测试编号测试项目是否通过测试定性Mob_Web_17默认或可猜解用户账户√是□否低危测试目的测试系统是否存在默认账户和弱口令。测试步骤通过对系统存在的登录页面进行账户、口令测试。测试结果未检测到使用弱口