移动应用安全测试
- 评估对象
- iOS · Android · API
移动
常见风险
逆向与篡改
安装包被反编译，核心逻辑和密钥被提取，或被二次打包植入恶意代码。
数据明文存储
账号、令牌、个人信息以明文保存在本地文件、数据库或日志中。
通信安全
未正确校验证书或使用明文传输，数据可能在传输中被截获或篡改。
接口滥用
接口缺少鉴权或频率限制，可被批量调用、刷单、撞库或越权访问。
组件与权限
导出组件可被外部调用、WebView 配置不当、申请了不必要的敏感权限。
测试范围
- iOS 与 Android 客户端（安装包与运行时）
- App 调用的后端 API 接口
- 登录、支付等关键业务流程
- 本地存储、日志与缓存数据
- 第三方 SDK 与 WebView
评估方法
静态分析
反编译安装包，检查硬编码密钥、敏感信息与代码保护。
动态分析
在测试设备上运行 App，检查本地存储、日志与运行时防护。
通信与接口测试
分析通信过程，对后端接口进行鉴权、越权与滥用测试。
报告与加固建议
按风险等级给出问题清单与加固方案。
评估交付成果
- 测试报告
- 客户端与接口问题的完整清单，含复现步骤与风险等级。
- 加固建议
- 代码混淆、数据加密、证书校验、接口防护等具体加固方案。
- 合规配合
- 可配合应用商店上架审核与隐私合规的相关要求。
适用场景
- App 首次上架或重大版本发布前
- App 涉及支付、金融或个人隐私数据
- 发现 App 被破解、二次打包或接口被刷
- 应用商店或合作方提出安全合规要求
合作常见问题
需要提供源代码吗？
不需要。我们可以直接基于安装包测试；如果能提供测试账号和接口文档，测试会更充分。
iOS 和 Android 都要测吗？
建议两端都测。后端接口虽然相同，但两端客户端的实现和保护机制不同，风险往往也不一样。
测试会影响已上线的 App 吗？
客户端分析通常在约定的测试设备与版本上进行。后端接口测试仍可能影响业务，需事先确认环境、测试窗口及停止条件，并协调必要的备份与恢复准备。
相关安全服务
验证 Web 应用、API 与关键业务流程中可被利用的安全弱点。
依据约定基线审查云配置、身份权限及对外暴露的资源。
结合业务与合规目标，明确安全建设重点、治理职责及实施计划。