天威诚信|ssl证书|ssl证书购买|ssl证书申请|ev ssl证书
行业新闻 | 公司新闻 | 安全播报
天威诚信最新消息:第一季度五项高危风险金融理财类居首

天威诚信最新消息:Testin发布2017年第一季度安全监测报告显示,安全高危风险五项,所在细分领域涉及18类。五项高危风险分别是:
代码安全:反编译
代码安全:代码混淆
公开漏洞webview远程代码执行
公开漏洞Https弱校验
数据传输中间人劫持
高危风险涉及领域金融理财类居首,占总体数据的17.32%,排在前五的细分领域分别为:出行类、生活服务类、购物类、社交类、金融理财类。
各项高危风险涉及细分领域,最高频次如下:
代码反编译—常用工具领域
公开漏洞webview远程代码执行—金融理财领域
代码混淆—金融理财领域
公开漏洞Https弱校验—金融理财领域
数据传输中间人劫持—金融理财领域
以上五大高危风险的具体解释,潜在风险和修复建议,以下建议仅供参考:



1、高危风险—代码安全:反编译
风险解释:
反编译是指通过对他人软件的目标软件(比如可执行程序)进行“逆向分析、研究”工作,以推导出他人的软件产品所使用的思路、原理、结构、算法、处理过程、运行方法等设计要素,一些情况下可直接推导出源代码,如使用Java开发的安卓apk程序,可以直接被导出源代码。
风险危害:
泄露软件核心代码流程,可能被竞争对手直接窃取。
黑产人员可插入恶意代码后进行二次打包,冒充原程序,进行恶意行为。
源码暴露更加容易被黑产人员挖掘软件漏洞,更易受到攻击。
修复建议:
通过对目标DEX文件进行整体加密或压缩方式把整个dex转换为另外一个文件存放在assets文件夹中或者其它地方,然后利用类加载器技术进行内存解密并加载运行。
抽取DexCode中的字节码指令后用零去填充,或者修改方法属性等操作,运行时在内存中做修正、修复等处理工作。
使用第三方加固程序进行加固

2、高危风险—代码安全:代码混淆
风险解释:
代码混淆是将代码中的各种元素,如变量,函数,类的名字改写成无意义的名字。比如改写成单个字母,或是简短的无意义字母组合,甚至改写成“__”这样的符号,使得阅读的人无法根据名字猜测其用途。重写代码中的部分逻辑,将其变成功能上等价,但是更难理解的形式。比如将for循环改写成while循环,将循环改写成递归,精简中间变量等。打乱代码的格式。比如删除空格,将多行代码挤到一行中,或者将一行代码断成多行等。增大黑客直接分析代码的难度。
风险危害:
程序未经过代码混淆处理,开发时原始代码完全会被暴露给黑客,降低黑客的入侵成本
更加容易被进行分析,复制,盗取功能代码。
修复建议:
通过ProGuard对代码进行混淆处理
使用第三方收费产品进行加固

3、高危风险—公开漏洞:webview远程代码执行解析
漏洞分析:
android的sdk中封装了webView控件。这个控件主要用开控制的网页浏览。WebView组件中使用addJavascriptInterface方法用于实现本地Java和JavaScript的交互,但是该函数并没有对方法调用进行限制,导致攻击者可以调用任何JAVA类,最终导致JavaScript代码对设备进行任意代码执行攻击。
风险危害:
攻击者可以构建恶意WEB页,诱使用户解析,可以应用程序上下文执行任意命令。
攻击者可以利用该漏洞远程控制受害者手机,植入木马
修复建议:
Android 4.2 (api17)已经开始采用新的接口函数,@JavascriptInterface 代替addjavascriptInterface, 有些android 2.3不再升级,浏览器需要兼容。
在使用js2java的bridge时候,需要对每个传入的参数进行验证,屏蔽攻击代码。
控制相关权限或者尽可能不要使用js2java的bridge。

4、高危风险—公开漏洞:Https弱校验解析
漏洞分析:
自定义实现的X509TrustManager子类中,没有对服务器端证书做验证,默认接受任意服务端证书,会存在安全风险,可能会导致恶意程序利用中间人攻击绕过证书校验。
风险危害:
中间人攻击风险,所有流量可以被黑客直接明文读取。
被黑客恶意篡改访问或返回数据。
修复建议:
利用X509TrustManager子类中的checkServerTrusted函数,校验服务器端证书的合法性。

5、高危风险—数据传输:中间人劫持解析
风险分析:
由于客户端没有校验服务端的证书,因此攻击者就能与通讯的两端分别创建独立的联系,并交换其所收到的数据,使通讯的两端认为他们正在通过一个私密的连接与对方直接对话,但事实上整个会话都被攻击者完全控制。在中间人攻击中,攻击者可以拦截通讯双方的通话并插入新的内容。
风险危害:
攻击者可通过中间人攻击,盗取账户密码明文、聊天内容、通讯地址、电话号码以及信用卡支付信息等敏感信息,甚至通过中间人劫持将原有信息替换成恶意链接或恶意代码程序,以达到远程控制、恶意扣费等攻击意图。
修复建议:
建议对SSL证书进行强校验(签名CA是否合法、证书是否是自签名、主机域名是否匹配、证书是否过期等)