Android APP安全防护总结 [复制链接]

2020-4-28 16:39
_luhua_ 阅读:209 评论:0 赞:0
Tag:  安全

1. 资源混淆(从文件资源下手)

使用Lint对无用资源进行清理,而Lint则可以检查所有无用的资源文件,只要使用命令./gradlew lint或者在Android Studio工程中点击Analyze->Inspect Code,选择Whole Project点击ok就行。它在检测完之后会提供一份详细的资源文件清单,并将无用的资源列在“UnusedResources: Unused resources” 区域之下。只要你不通过反射来反问这些无用资源,你就可以放心地移除这些文件了。

https://www.jianshu.com/p/3ba16f34bba9  --  AndResGuard教程

https://github.com/shwenzhang/AndResGuard  --  AndResGuard项目

https://www.cnblogs.com/lsdb/p/9340761.html

https://blog.csdn.net/wei11556/article/details/83275469


2. 代码混淆(从代码优化)

提高代码可读性,使得程序更加难以理解。此方法基本都要做,用的最多的当Proguard莫属。

https://www.jianshu.com/p/e9d3c57ab92f?utm_campaign=haruki&utm_content=note&utm_medium=reader_share&utm_source=qq Android 代码混淆 混淆方案

 

3. 签名校验

检查APP中自己写入的私钥hash值与当前签名中的私钥hash值是否相一致。一致则说明APP没有被改动,允许APP运行;不一致则说明APP被二次打包,APP就自我销毁进程。

签名验证可以在两个地方做,一个是在MainActivity.java的OnCreate函数中做一个是在原生代码文件的JNI_OnLoad函数中做

https://www.cnblogs.com/lsdb/p/9340761.html


4. 反调试

第一:因为一个进程同时最多只能被一个进程所调试,那么我们就给自己附加进程,假装自己在调试自己,占住调试位置,用该方法来拒绝别的进程的调试请求。

第二:轮训检查自身status中的TracerPid字段值,如果发现TracerPid的值不等于0则代表有进程在调试,就要杀死自己。

第三:签名校验是不可或缺的一个选择,本地校验(前端)和服务器端校验双管齐下。

第四:借助系统API判断应用调试状态和调试属性,这是最基础最基本的防护。

第五:轮训检查Android_server调试端口信息和进程信息, 防护IDA动态调试的一种有效方式。

http://www.520monkey.com/archives/1000

 

5. 组件安全

四大组件的安全防护其实无非就是访问权限控制

在创建组件时,如果是私有的组件,android:exported属性一律设置为false。如果是公有的,就设置android:exported为true。不管公有的还是私有的组件,处理接收的intent时都应该进行验证的数据验证。公有组件防止信息泄露和接收外部数据时进行严格的处理。如果对私有组件没有进行相应的配置,可能导致组件被其他程序调用,敏感信息泄露,拒绝服务器攻击和权限绕过等漏洞。

这里对LocalBroadcastManager说明一下,其基于Handler实现的,拥有更高的效率与安全性。安全性主要体现在数据仅限于应用内部传输,避免广播被拦截、伪造、篡改的风险。但是LocalBroadcastManager不支持Sticky、order特性,多线程并发性能不高,在某些需要后注册Receiver也可以收到信息的特殊需求无法实现。

 

6. WebView的代码执行漏洞

WebView远程代码执行相关的漏洞主要有CVE-2012-6336、CVE-2014-1939、CVE-2014-7224,这些漏洞中最核心的漏洞是CVE-2012-6336,另外两个CVE只是发现了几个默认存在的接口,下面就具体说明这些漏洞的情况。

CVE-2012-6336  Android <= 4.1.2  受影响

CVE-2014-1939  Android <= 4.3.1  受影响

CVE-2014-7224  Android <= 4.4.0  受影响

可以发现其实都是些低版本系统漏洞,目前已经发展到Android 10了,理论上说不存在WebView漏洞,属于老漏洞。修复方法就是升级最新系统版本。

 

7. 加固:360加固、梆梆加固、网易加固、腾讯乐固

 

8. 编码安全

编码安全就是反编译,反编译不好防,只能提高破解难度,例如加固、混淆、so文件函数加密等等。反编译后能干什么?当然是二次开发,冒充正版植入广告或者恶意程序,一旦有用户下载了山寨版的,那么就有极大概率获取手机的控制权限及本人的敏感信息。

 

9. 使用HTTPS链接

避免被恶心的运营商劫持,插入广告,影响用户体验。(比如我爱我家APP被挂博彩),我觉得这个很有必要,不仅仅是因为安全,包括微信公众号,googleplay 都在强制要求开发者必须使用HTTPS。(这里为什么运营商会搞鬼呢,因为运营商看你的网站或者APP量大,想利用你的流量做广告推广,可能就几分钟)

 

10. 密码明文保存漏洞

由于WebView默认开启密码保存功能,所以在用户输入密码时,会弹出提示框,询问用户是否保存。若选择保存,则密码会以明文形式保存到/data/data/com.package.name/databases/webview.db中,这样就有被盗取密码的危险。所以我们应该禁止网页保存密码,设置WebSettings.setSavePassword(false)

 

11. 防抓包分析,两个方案:

A. System.getProperty("http.proxyHost");System.getProperty("http.proxyPort"); //正常这两行代码获取的是null,如果返回不为空,就是挂代理了,那么就可以考虑是否给数据了。

B. System.setProperty("key","value");

https://www.jianshu.com/p/4a99f524e0dc  

具体解释可以看看这篇文章,这里不做过多笔墨,前辈们已经总结得很好。

 

12. 数据存储安全

A. 隐藏数据存储位置

B. 存储内容不要使用明文

C. 代码中禁止硬编码重要信息内容

D. 存储到手机内部存储上

 

13. 慎重使用allowBackup属性,设置是否支持备份,默认值为true,如无必要,将值设置为false,避免应用内数据通过备份造成的泄露问题。

 

14. 自定义键盘

关于这一点,其实笔者不知道此做法对安全性有多大作用,我也特意去下载了一些热门应用做调查,发现还是比较多APP应用使用手机自带的或默认的键盘,所以笔者不清楚其危害性有多大,个人觉得可有可无。若是各位师傅们对此理解深切,希望纠正~

 

15. 账号与设备绑定

如果发现与常用设备不符合,增加短信登录形式进行重新登录。此做法笔者觉得很有效防止任意用户登录。

 

16. classes.dex哈希值存放在服务器端

为了防止被破解,软件发布时的classes.dex哈希值应该存放在服务器端。

 

17. 检测手机是否root

如果root了,就禁止某些核心功能。

检测是否root代码

 需要代码请在公众号内回复“root代码

18. 检测手机是否装Xposed

若是检测到有则隐藏核心功能模块。代码可以看看简书的这篇文章

https://www.jianshu.com/p/c37b1bdb4757

 

    Android防护手段都有很多,具体还要结合业务的实际情况进行加固,毕竟产品的安全性和性能都同时兼顾是很难做到的,我们需要在这两者之间做平衡。


我来说两句
您需要登录后才可以评论 登录 | 立即注册
facelist
所有评论(0)
领先的中文移动开发者社区
18620764416
7*24全天服务
意见反馈:1294855032@qq.com

扫一扫关注我们

Powered by Discuz! X3.2© 2001-2019 Comsenz Inc.( 粤ICP备15117877号 )