8、Android应用安全检测与数据存储安全指南

Android应用安全检测与数据存储安全指南

1. Android应用安全检测工具QARK

1.1 QARK报告查看

QARK是一款免费的Android静态代码分析（SCA）工具，运行后会生成名为 report.html 的报告。我们可以根据之前截图中提供的路径，找到并打开该文件查看报告内容。其报告简洁明了，在Dashboard中可以看到QARK检测结果的概述。

1.2 漏洞查看

1.2.1 Manifest文件漏洞

QARK能识别Manifest文件中的漏洞，除了漏洞信息外，还会提供相关参考，帮助我们理解漏洞及其风险。例如，可能会检测到日志在4.1之前的设备上全局可读，恶意应用有可能从日志中获取敏感数据；备份功能开启可能导致在设备开启USB调试时（不常见情况），通过adb备份进行本地攻击实现数据窃取； android:debuggable 标志手动设置为 true ，会使应用在生产版本中可调试，可能导致数据泄露和其他安全问题。

1.2.2 应用组件漏洞

QARK会识别出导出的活动（Activity），但这些是否为真正的漏洞，需要手动验证。可以通过创建恶意应用或使用adb命令来进行验证，QARK会在报告中提供相应的adb命令。例如：

==>EXPORTED ACTIVITIES: 
1com.isi.testapp.MainActivity
adb shell am start -a "android.i