7、Android应用安全保障与测试全解析

Android应用安全保障与测试全解析

1. 代码混淆

代码混淆有多种方法和工具，有效的混淆能显著延缓普通逆向工程师的破解速度，但无法完全阻止有决心和能力的攻击者。攻击者仍有可能理解应用并进行修改或进一步攻击。所以，使用代码混淆时要明白它并非能让代码对攻击者完全不可见。例如，解压APK文件时使用奇怪的文件名就是一种混淆手段。

2. 漏洞评估与团队协作

• 团队设置的重要性 ：根据公司规模，可能有或没有内部安全团队。若有内部进攻性安全团队，应将其融入整个开发生命周期。下面详细介绍不同团队的角色和任务。
• 红队（进攻团队）
  • 主要职责 ：负责评估公司所有资产，并对其进行系统性攻击。攻击方式可分为可控攻击和临时攻击。例如，在软件开发周期中，要求开发团队对新功能进行漏洞评估，高风险或中风险问题需在应用发布前修复。
  • 研究工作 ：关注最新安全威胁，制作概念验证，并攻击内部系统以检测漏洞。
• 蓝队（防御团队）
  • 防御领域 ：确保云计算基础设施安全，如控制云资源访问、计费信息查看和新计费服务配置；进行门禁管理，控制防火墙端口和负载均衡器API的访问。
  • 漏洞评估检查 ：在将新服务上线前，蓝队会审查漏洞评估报告，若团队想快速将代码投入生产，