10、移动应用后端安全测试与漏洞分析

移动应用后端安全测试与漏洞分析

1. 移动应用架构概述

移动应用后端通常包含应用服务器和数据库服务器。应用连接到后端 API 服务器，而 API 服务器依赖于幕后的数据库服务器。在软件开发过程中，建议遵循安全的软件开发生命周期（SDLC）流程，许多组织采用这种方法在软件开发的每个阶段实施安全措施。在应用设计早期进行威胁建模，有助于严格控制应用中的安全漏洞，早期构建无缺陷的应用比在应用投入生产后再解决问题成本要低得多，但大多数应用在软件开发过程中往往忽略了这一点。

2. 移动后端测试策略

后端测试与 Web 应用测试类似，但为了在常用的代理工具 Burp Suite 中查看 HTTP/HTTPS 流量，需要进行一些设置。

2.1 设置 Burp Suite 代理进行测试

为了测试移动应用中的服务器端漏洞，代理是测试人员必不可少的工具。根据使用的网络和模拟器/物理设备的可用性，有多种配置代理的方法。以下是通过 Wi - Fi 和接入点名称（APNs）配置 Burp Suite 的两种方法：
- 让代理监听端口 ：
1. 从上下文选项卡中选择“Proxy | Options”。
2. 点击“Add”按钮。
3. 填写要绑定的端口（这里是 8082），并选择“All interfaces”。
4. 确保“Alerts”选项卡显示“Proxy service started on port 8082”。

2.2 通过 APN 设置代理

要为 Android 设备与后端之间的所有通信启用代理，可按以下步骤操作： <