2023APP靜態(tài)測試案例

APP靜態(tài)測試案例目錄TOC\o"1-3"\h\u30721一.靜態(tài)測試 321471.DEX(classes.dex文件)代碼加密保護 3121582.原生庫（so文件）代碼加密保護 5287583腳本代碼(JS,，Lua、python等)加密保護 637214.敏感資源文件加密保護 6184785業(yè)務敏感文件（證書、配置等）加密保護 6315366運行時簽名校驗 7113357運行時文件完整性校驗 8155868使用不安全的加密算法 10227549使用不安全的哈希算法 121206210.二次打包（靜態(tài)文件篡改）檢測 131296411.不合理使用加密算法（如ECB模式） 151806712.應用簽名、發(fā)布規(guī)范 162347513.運行時簽名校驗 162565514DEX代碼調(diào)試標志位未關閉 17一.靜態(tài)測試1.DEX(classes.dex文件)代碼加密保護測試描述：對客戶端反編譯文件DEX進行轉(zhuǎn)換，查看客戶端是否對JAVA源生代碼進行加密混淆，是否能看到清晰的JAVA代碼。詳情及測試步驟：1.首先將目標apk修改成.zip后綴的文件，然后解壓，提取.dex文件2.解壓.zip文件提取獲獲取的.dex文件3.接著用在dos窗口下打開dex2jar.bat與目標dex文件打開dex文件具體如圖4.將獲取的在jd-gui中打開，即可查看JAVA源碼并分析其是否進行加密混淆判斷依據(jù)：是否能看到清晰的JAVA代碼2.原生庫（so文件）代碼加密保護測試描述：利用工具反編譯so文件，查看客戶端是否對C/C++源生代碼進行加密混淆詳情及測試步驟：直接用IDApro打開apk,接著選擇需要反編譯的so文件使用IDApro反編譯選擇的so文件，看IDAPro是否能夠正確反編譯核心的代碼。判斷依據(jù)：so文件是否能不反編譯成清晰的c\c++代碼3腳本代碼(JS,，Lua、python等)加密保護測試描述：查看客戶端是否明文存儲腳本代碼，腳本代碼包括JavaScript、Lua、Python等。詳情及其測試描述：首先將apk的文件后綴名改成.zip，然后解壓然后再利用windows的文件搜索功能搜索腳本文件對腳本文件進行檢查，看是否還有業(yè)務敏感信息判斷依據(jù):腳本代碼是否含有業(yè)務敏感信息4.敏感資源文件加密保護測試描述：查看客戶端用戶登陸的xml文件是否明文存儲敏感信息，查看客戶端開發(fā)殘留或者需要保存在客戶端文件或信息是否加密。詳情、驗證步驟：直接用androidkiller打開目標apk。利用androidkiller的工程搜索功能，搜索登陸的xml文件或者客戶端開發(fā)殘留文件及需要保存在客戶端的文件或者信息判斷依據(jù)：對應的文件是否包含明文的業(yè)務敏感數(shù)據(jù)。5業(yè)務敏感文件（證書、配置等）加密保護測試描述:查看客戶端是否明文存儲用戶加密證書或者其他證書，查看客戶端是否明文存儲SDK等配置文件是否加密。詳情、驗證步驟：1.直接用androidkiller打開目標apk，查看apk配置文件AndroidMainfest.xml是否加密如下圖2.直接解壓apk文件，然后利用windows自帶的搜索文件功能查看證書，查看證書文件是否加密存儲，未加密的證書文件如下所示。判斷依據(jù):加密證書或者其他證書是否是明文存儲6運行時簽名校驗測試描述:對應用進行破解，打包，重新采用第三方簽名發(fā)布，查看是否添加簽名校驗。詳情、驗證步驟：1.利用工具Android逆向助手對源apk進行重新簽名，選擇apk后，選擇apk簽名選項，然后點擊操作，如下圖。即可完成對目標apk的重新簽名，然后將重新簽名后的APK安裝至手機，查看能否正常運行判斷依據(jù):重新簽名后的APK能否正常運行7運行時文件完整性校驗測試描述:對客戶端進行破解，植入廣告，打包，簽名運行，查看運行時是否對文件完整性進行校驗。詳情、驗證步驟：對apk進行解壓，并利用apktool反編譯dex文件，如下圖所示：篡改smali文件，這里我使用androidKILL修改再利用apktool重新編譯修改后的文件，即我們剛剛對反編譯的dex文件獲取的文件包。在手機上安裝,運行之后，APK會終端運行，這里就不截圖了。判斷依據(jù):修改后的apk能否正常運行8使用不安全的加密算法測試描述:檢測移動應用在進行敏感數(shù)據(jù)的加密存儲時，是否采用了業(yè)界推薦的加密算法。詳情、驗證步驟：使用AndroidKiller打開目標APK.點擊下圖用紅色圈編制的地方即可查看到JAVA源碼，如圖所示。在源代碼中查找他的加密算法，他目標APK使用的是不是業(yè)界推薦的加密算法，如下圖所示判斷依據(jù):是否使用業(yè)界推薦的安全的加密算法9使用不安全的哈希算法測試描述:檢測移動應用在使用哈希算法時，是否使用了業(yè)界推薦的安全哈希算法。詳情、驗證步驟：1.使用AndroidKiller打開目標APK.2.點擊下圖用紅色圈編制的地方即可查看到JAVA源碼，如圖所示。在源代碼中搜尋所要哈希算法，并分析其是否是業(yè)界推薦的安全哈希算法判斷依據(jù):是否使用了業(yè)界推薦的安全哈希算法10.二次打包（靜態(tài)文件篡改）檢測測試描述:對程序進行破解，植入廣告，打包，簽名運行，查看是否正常運行。 詳情、驗證步驟：1.用Androidkiller對目標APK進行解壓，如下圖所示：隨機抽取一個資源文件進行篡改，也在是在res文件夾下對資源文件進行篡改在利用AndroidKILLER的編譯功能重新編譯，簽名步驟如下重新編譯后在手機上安卓上，看目標APK能否正常運行11.不合理使用加密算法（如ECB模式）測試描述：檢測移動應用在使用AES加密算法時，是否使用了ECB模式。詳情、驗證步驟：使用反編譯工具反編譯APK；分析源代碼中的加密算法模式。判斷依據(jù)：使用AES加密算法時是否采用ECB模式12.應用簽名、發(fā)布規(guī)范測試描述：檢測app發(fā)布版本的簽名信息是否為調(diào)試版本的簽名信息。詳情、驗證步驟：1.使用JDK自帶的jarsigner.exe對APK包進行檢查，命令：jarsigner-verify-verbose-certstest.apk效果如下圖所示：在彈出的簽名信息中尋找androiddebug字樣，如果有就是debug簽名，如果沒有就不是debug簽名。判斷依據(jù)：判斷簽名相關的信息是否包含debug等信息。13.運行時簽名校驗測試描述：對應用進行破解，打包，重新采用第三方簽名發(fā)布，查看是否添加簽名校驗。詳情、驗證步驟：1.使用APKtoolBox對apk重新簽名2.在Android手機或者模擬器上安裝運行apk，看APK是否能正常運行判斷依據(jù)：APK是否能正常運行14DEX代碼調(diào)試標志位未關閉測試描述：查看AndroidManifest.xml文件中的debuggable屬性值是否為true詳情、驗證步驟：1.使用apktool