【干货】测试Android应用安全性
来源:互联网 发布:有没有抢购软件 编辑:程序博客网 时间:2024/06/05 12:02
想要开发一款安全的Android应用程序,最佳方法之一是进行渗透测试,其实际情况就是模拟攻击者对你的应用程序进行破解分析!首先、我们设置测试环境;其次、我们讨论一些工具和代理技术--Drozer,Apktool和“中间人”代理 - 在安全评估Android应用程序时派上用场;最后、我们研究了Android的清单文件。
在Android应用程序的渗透测试期间,通常需要修改应用程序的源代码以绕过SSL pinning SSL绑定,检查篡改保护,绕过应用程序逻辑等步骤。在本文中,我们将介绍成功修改源代码的过程。
所需工具:
1、下载并设置Apktool
2、jarsigner
3、JD-GUI
步骤1:将代码转换为Smali格式
设置Apktool并使用以下命令拆卸APK。我们使用了测试应用程序Sieve。
apktool d <你的apk路径这里> -o<输出路径>
反汇编的APK文件夹包含Smali文件。可以使用任何文本编辑器修改这些文件,如以下屏幕所示:
您还可以使用JD-GUI(将classes.dex文件转换为.jar格式)来标识要修改的类或方法,然后修补相应的Smali文件。
步骤2:重新打包APK
修改Smali代码后,您必须重新打包APK。使用以下命令:
apktool b <deassembled apk path> -o<output apk path>
Android要求每个APK都要签名。任何未经签名的二进制文件都会导致传递错误。因此,下一步是创建一个密钥对,并使用该签名进行签名。
步骤3:创建并签署密钥
Keytool和Jarsigner包装在JavaDevelopment Kit包中,需要完成此步骤。使用此命令生成密钥:
keytool -genkey -v -keystore mykey.keystore-alias <任何别名> -keyalg RSA-keysize 2048 -validity 10000
在回答以下一系列问题后,将在C:\ Users \ <username>目录中创建一个密钥文件(mykey.keystore)。
创建密钥后,可以使用以下命令对APK进行签名:
jarsigner -verbose -sigalg SHA1withRSA-digestalg SHA1 -keystore mykey.keystore <apk path> alias_name
完成所有步骤后,重新包装的APK可以成功安装在设备上。
如果篡改后的APP能够正常运行,那么该APP存在被盗版的风险。安卓应用APK加密工具http://www.kiwisec.com/product/apkEncrypt.shtml集成多项加密服务,包括Dex文件加密、SO文件加密、DLL文件加密、内存保护、反调试、防二次打包等功能。避免核心代码被破解,请求协议被伪造,被病毒感染,被植入恶意代码后重打包等诸多安全风险!
- 【干货】测试Android应用安全性
- android手机安全性测试手段
- android手机安全性测试手段
- android手机安全性测试手段
- 【干货】Android应用架构笔记
- Android LocalBroadcastManager提高应用安全性
- 安全性测试
- 安全性测试
- 安全性测试
- 安全性测试
- 安全性测试
- <Android 应用 之路> 干货集中营 ~ GankIOClient
- [干货] 【译】Android 开发规范与应用
- Android 应用安全性问题(了解、处理、探讨)
- Android应用中的APK安全性问题
- Android干货
- 腾讯Bugly干货分享:Android应用性能评测调优
- 腾讯Bugly干货分享:Android应用性能评测调优
- 批量数据导入Redis(Mass Insertion)
- ES6-let和const
- linux snort centos搭建入侵检测系统snort及问题总结与解答
- mysql编程规范
- Linux 命令1
- 【干货】测试Android应用安全性
- SVN服务器搭建
- 救救服务器!IT人三伏天都怎么过?
- SwipeRefreshLayout + RecyclerView 实现上拉加载下拉刷新
- ios蓝牙开发(二)ios连接外设的代码实现
- 数据库事物
- Spring:IoC 用法(三、XML配置用法)
- 插入排序
- 在Spring中注入配置文件