34、移动应用攻击与分析技术详解

移动应用攻击与分析技术详解

1. iOS 应用安全测试

1.1 剪贴板和预测文本引擎数据泄露测试

iOS 应用常出现剪贴板和预测文本引擎数据泄露问题。剪贴板是用于在不同应用界面或应用间共享数据的缓冲区，但这可能会意外泄露敏感信息，如用户密码，被恶意应用或共享设备上的其他用户获取。预测文本引擎会存储用户输入的单词和句子，攻击者可在越狱设备的文件系统中找到这些敏感数据，路径为：

$ cd data/Library/Keyboard/en-dynamic.lm/

利用此知识，可解决应用功能中侧信道数据泄露类的按键记录和复制粘贴挑战。例如，华为 HiLink iOS 应用就存在此类信息泄露漏洞（https://www.cvedetails.com/cve/CVE - 2017 - 2730/），攻击者可收集 iPhone 型号和固件版本信息并追踪设备。

1.2 注入攻击

1.2.1 XSS 注入

XSS 注入在网页应用中常见，但在移动应用中较难发现，不过当应用使用 WebView 展示不可信内容时可能出现。可在应用功能的注入缺陷类跨站脚本挑战中，通过在提供的输入字段的脚本标签间注入简单 JavaScript 有效负载进行测试。若攻击者利用 WebView 中的 XSS 漏洞，可访问当前渲染的敏感信息、HTTP 认证 cookie，甚至篡改网页，添加钓鱼内容。

1.2.2 SQL 注入

移动应用也可能遭受 SQL 注入攻击。若应用用数据库记录使用统计信息，攻击可能无法改变应用流程；