AndroidAPP测试标准规范.docx

《AndroidAPP测试标准规范.docx》由会员分享，可在线阅读，更多相关《AndroidAPP测试标准规范.docx（45页珍藏版）》请在第一文库网上搜索。

1、AndroidAPP测试标准规范目录一、鉴权机制缺陷41TOken缺陷绕过鉴权机制42 .传输数据可修改，造成越权访问53 .用户登录会话失效测试5（二）、客户端保护评估61 .组件ContentProvider配置错误，导致数据泄漏62 .组件Activity配置错误，导致登录页面被绕过83 .组件Service配置错误，导致非法权限提升94 .组件BroadcastReceiver配置错误，导致拒绝服务、非法越权105 .开启a11owbackup备份权限，存在备份数据泄露风险116 .开启DebUggabIe属性，存在应用信息篡改泄露风险137 .APK客户端篡改138 .反编译保护15

2、9 .系统底层击键记录1610 .Activity界面劫持1811 .安卓应用无自动锁屏功能1912 .开发者证书不规范，导致开发者身份信息不明2013 .WebView的JS对象注入漏洞2214 ）、敏感数据暴露241 .不安全的本地存储242 .明文传输用户名，密码和验证码等敏感信息263 .手势密码信息本地保存294 .泄露后台服务器地址305 .日志信息泄露31（四）、二进制保护321 .动态调试322 .进程调试333 .内存代码注入344 .内存dump34（五）、应用安全策略371 .密码复杂度检测372 .账户锁定策略373 .账号登录限制374 .私密问题验证385 .会话安

3、全设置386 .界面切换保护387 .ui信息泄露398 .验证码安全性399 .安全退出3910 .密码修改验证40（六）、手势密码安全性401.手势密码复杂度402 .手势密码修改和取消403 .手势密码锁定策略414 .手势密码抗攻击测试41（七）、密码软键盘安全性421 .键盘劫持422 .随机软键盘布局43（A）、通信安全441 .通信加密442 .证书有效性检测443 .访问控制（仅能由手机访问）45一、鉴权机制缺陷1.Token缺陷绕过鉴权机制问题描述：如果被测应用没有使用有效的token机制，对登陆响应中的服务器返回的鉴权信息进行修改，即可绕过服务器鉴权，直接访问系统内部信息。

4、检查方法和步骤：.利用BUrPSUite监听登陆响应,对登陆响应中的服务器返回的鉴权信息进行修改。IRgyeStOr9nretpooMEaedremMIRaw1HeaJerIHexffP1.1TQOOKCacbe-Contco1:pcvateContent-Type:ccp1ain;cb*tr9tucf8Vary:Accept-EncodingServer:Hicrosotc-S7.5XMp1t-VeAon:2.0.50727X-Poveced-By:J1SPNGDac:Tti,2SJun201SOB:12:36GHTContent-1ength:42(WC:DOOCOO,sS1:w1pOme

5、1cM图1利用BurpSuite进行监听并修改鉴权信息1 .修改后成功绕过登录界面，进入应用界面。图2.进入应用界面检查工具：BurpSuite整改建议：使用有效的token机制进行鉴权。2.传输数据可修改，造成越权访问问题描述：利用已有的用户名密码登录应用，当应用访问某一模块时，使用BurpSuite等工具进行监听，对访问该模块时的关键信息进行替换，则可越权访问他人的应用模块。检查方法和步骤，1 .利用已知的用户名密码登录被测应用。2 .利用BurpSuite对被测应用进行监听。确保BUrPSuite上的“interceptisOn（监听是打开的）”。3 .以用户在应用中登录邮箱为例，在用户

6、登录邮箱的过程中，可以利用BurpSuite将数据包中该用户的手机号码更改为本公司通讯录内的任意手机号码，则可成功登录他人邮箱，导致越权访问问题。检查工具：BurpSuite整改建议：在传输过程中对敏感数据进行加密传输，并且在单点登录过程中采用有效的token机制进行鉴权。4 .用户登录会话失效测试问题描述：用户长时间不操作被测应用，未见被测应用自动退出会话。检查方法和步骤：1在模拟器中安装手机APP客户端，切换到账户显示页面，长时间不操作应用，再刷新页面或使用其他功能，查看是否需要重新登录。一一WP.f.余额宝签的未签约银行卡光大图行尾号8109消息通知修改登录空码密码保护关于联系我们维助图

7、3.账户显示页面检查工具：Android模拟器整改建议：建议用户长时间不操作应用的话，自动退出会话，或弹出提示，需要重新登录。（二）、客户端保护评估1.组件ContentProvider配置错误，导致数据泄漏问题描述：ContentProvider是安卓应用组件，以表格的形式把数据展现给外部的应用。每个ContentPrOVider都对应一个以“content:/,开头的特定UR1任何应用都可以通过这个URI操作ContentProvider应用的数据库。如果应用对权限控制不当就会造成信息泄露。检查方法和步骤：1 .使用drozer获取所有可以访问的URI：runScannenproviden

8、finduris-a(packagename)(packagename是彳寺检测的应用包名)Accessib1econtentURIs:icontent:/com.mwr.examp1e.sieve.DBContentProvider/Keys/二content:/com.mwr.examp1e.sieve.DBContentProvider/Passwordscontent:/com.mwr.examp1e.sieve.DBContentProvider/Passwords/图4.利用drozer获取可以访问的URI2 .使用drozer获取各个URI的数据:runapp.provider.

9、querycontentcom.mwr.examp1e.sieve.DBContentProvider/Passwords/(contentcom.mwr.examp1e.sieve.DBContentProvider/Passwords/是上一步骤中得到的可以访问的URDcontent:/com.nwr.examp1e.sieve.DBContentProvider/Passwords/nercuryrunapp.provider.queryContent:CO再.nwr.examp1e.sieve.DBContentPrOVtCkrKeysIPasswordpinmercuryrunapp

10、.provider.querycontent:/con.nwr.examp1e.sieve.DBContentProvider/PasswordsI_tdIserviceusernamepasswordemai1mercuryrunapp.provider.querycontent:/com.mwr.examp1e.steve.DBContentProvtder/PasswordsI_tdIserviceusernamepasswordemai1mercuryrunapp.provider.querycontent:/com.nwr.examp1e.steve.DBContentProvtde

11、r/Passwords/I_tdIserviceusernamepasswordemai1nercuryrunapp.provider.querycontent:/com.nwr.examp1e.steve.DBContentProvidcr/Passwords/I_tdIserviceusernamepasswordemai1mercury图5.利用drozer获取可以访问的URI数据整改建议:在被测应用的AndroidManifest.XmI文件中，设置provider的android:exported属性为fa1se或者通过设置自定义权限来限制对contentprovider的访问。2.

12、组件AetiVity配置错误，导致登录页面被绕过问题描述：ACtiVity是安卓应用组件，提供与用户进行交互的界面。如果应用对权限控制不当，可以绕过登录界面直接显示该界面。检查方法和步骤：1 .使用drozer检查应用中是否存在暴露的activity,使用命令runapp.activity.info-a(packagename)。(packagename是待检测的应用包名)dzrunapp.activity.info-acom.isi.testappPackage：com.isi.testappcom.isi.testapp.MainActivitycom.isi.testapp.We1com

13、edz1b图6.利用Drozer检查是否有暴露的Activity2 .在上图中ComJs1testappWainActivity是正常启动的主界面。com.isi.testapp.We1come是登录鉴权后才能启动的界面。可以使用以下命令尝试启动。runapp.activity.start-componentcom.isi.testappcom.isi.testapp.We1comedzrunapp.activity.start-componentcom.isi.testappcom.isi.testapp.We1comedzQ图7.利用Drozer启动ActivitySSSCApp1Ke11

14、0:57testappSECIINSTITUTEIQ曰图8.利用DrOZer启动Activity进入界面整改建议：通过设置自定义权限，限制对ACtiVity的访问。3 .组件Service配置错误，导致非法权限提升问题描述：SerViCe是AndrOid中四大组件进行后台作业的主要组件，如果被测应用对权限控制不当，导致其他应用可以启动被测应用的Service0检查方法和步骤：1 .使用JEB检查APK中是否存在暴露的SerViCe,将apk拖入JEB中，然后查找暴露的SerViCeCaerviceandroid:naxecom.C1eannaster.awidget.WidgetServiceandroid:process:serviceacticnandroid:nax.ecob.C1earun