NAGAIN加固報告:安卓APP安全漏洞自動化挖掘
近年來，隨著智能手機的普及，APP數(shù)量增長也是呈現(xiàn)出幾何式的增長，同樣APP風(fēng)險各類事件也呈現(xiàn)出爆炸式的增長，各種漏洞消息此消彼長，漏洞類型層出不窮。而由于谷歌Android系統(tǒng)開源架構(gòu)特性，安卓移動應(yīng)用早已成為APP風(fēng)險重災(zāi)區(qū)。
目前的APP風(fēng)險主要有服務(wù)端漏洞和客戶端漏洞兩種，在服務(wù)端漏洞方面主要有各種API接口引發(fā)的傳統(tǒng)WEB漏洞和利用無限制，直接攻擊服務(wù)端 ;在客戶端漏洞方面則有各種本地APP漏洞 ，利用可能需要交互或者借助安裝插入惡意APP。這些漏洞已經(jīng)深深危害了APP開發(fā)商和開發(fā)者利益，漏洞不僅呈現(xiàn)出類型多，數(shù)量也多得嚇人。
近日，NAGAIN娜迦信息在移動安全極客沙龍上分享了安卓APP安全漏洞的自動化挖掘的最新研究報告。報告顯示Android APP的漏洞類型與數(shù)量繁多，諸如SQL注入、webview系列漏洞、文件模式配置錯誤、HTTPS不校驗證書、拒絕服務(wù)攻擊等。針對這些亂象，NAGAIN娜迦信息經(jīng)過幾年摸索和研究后，不斷完善APP漏洞的自動化挖掘技術(shù)，并在APP漏洞的自動化挖掘方面獲得了眾多成就。
據(jù)調(diào)查數(shù)據(jù)顯示，絕大多數(shù)APP都存在著安全漏洞，這可能會導(dǎo)致它們在未來感染嚴重的惡意病毒。根據(jù)惠普對來自600多家福布斯全球2000強企業(yè)的2100多個移動應(yīng)用的調(diào)查分析，顯示90%的應(yīng)用都有潛在漏洞，最常見的安全漏洞包括二次打包、后門注入風(fēng)險、未加密數(shù)據(jù)儲存以及使用不安全的協(xié)議來傳輸數(shù)據(jù)等，這些漏洞不僅對開發(fā)者的利益和名譽構(gòu)成威脅，同時也會對用戶的利益造成嚴重危害。
NAGAIN娜迦信息在2013年提出APP漏洞挖掘測試點規(guī)范化模板，在次年3月完成了漏洞挖掘輔助分析模塊，在APP靜態(tài)分析、動態(tài)監(jiān)控上取得了空前的突破，之后NAGAIN娜迦信息陸續(xù)為國內(nèi)多家銀行提供專業(yè)化的漏洞測試服務(wù)中，積累了大量的APP漏洞挖掘經(jīng)驗，并結(jié)合這種經(jīng)驗開發(fā)、推出了全自動化的APP安全掃描產(chǎn)品。在未來，NAGAIN娜迦信息會繼續(xù)深研APP安全漏洞的自動化挖掘技術(shù)，打造移動安全健康生態(tài)鏈。
關(guān)注我們
