Правила тестирования Android

[Benzema]

​

Android — это самая большая организованная база любой мобильной платформы, и она быстро развивается - каждый день. Кроме того, Android становится самой расширенной операционной системой с этой точки зрения по разным причинам.

Однако, что касается безопасности, никаких данных, связанных с новыми уязвимостями, которые могли бы привести к слабому программированию на этом этапе, не выявлено, понимая, что этот этап имеет выдающуюся поверхность атаки.

Сбор информации​

Сбор информации - это самый простой этап проверки безопасности приложения. Тест безопасности должен попытаться протестировать как можно больше базы кода, насколько это разумно возможно.

Поэтому важно отобразить все мыслимые пути в коде, чтобы стимулировать исчерпывающее тестирование.

• Общая информация. Краткое изложение общей информации о приложении.
• Тестирование на общие библиотеки и снятие отпечатков пальцев.
• Краткое описание компонентов приложения и авторизации компонентов.
• Обратный инжиниринг кода приложения.

Недостатки локального хранилища приложений​

Android предоставляет вам несколько альтернатив, чтобы избавить вас от настойчивой информации о приложении. Хранилище, которое вы выбираете, зависит от ваших конкретных потребностей.

Например, независимо от того, должна ли информация быть закрытой для вашего приложения или открытой для разных приложений (и клиента) и сколько места требуется для ваших данных.

• Разумные данные, найденные в журналах и кэше.
• Хранение конфиденциальных данных в общем хранилище (предоставляется всем приложениям без каких-либо ограничений).
• Контент-провайдеры SQL-инъекции и права доступа.
• Проверьте, остаются ли конфиденциальные данные там даже после выхода из системы.
• Конфиденциальность и утечки метаданных.

Безопасность транспортного уровня​

Шифрование с защитой транспортного уровня позволяет посторонним глазам оставаться вдали от ваших сообщений, пока они находятся в полете. TLS - это протокол, который безопасно кодирует и передает данные как для входящего, так и для исходящего трафика, что позволяет избежать слежки.

• Старые небезопасные протоколы транспортного уровня.
• Слабое шифрование TLS (CRIME, BREACH, BEAST, Lucky13, RC4 и т.д.) можно найти с помощью таких инструментов, как (sslscan, sslyze, osaft и т.д.).
• Небезопасное хранение данных.
• Обход закрепления сертификата TLS.
• Недостатки подлинности TLS.

Безопасность IPC (межпроцессное взаимодействие)​

Механизмы Android IPC позволяют вам проверять личность приложения, подключающегося к вашему IPC, и устанавливать политику безопасности для каждого механизма IPC.

• Атаки типа "отказ в обслуживании" на устройствах.
• Проблемы с разрешениями и обменом данными с цифровой подписью.
• Нелегитимное приложение может получить доступ к конфиденциальным данным.
• Открытые компоненты и авторизация между приложениями.

Ненадежный код​

• Конфиденциальная информация, раскрытая в сообщении об ошибке приложения.
• Риски выполнения JavaScript в WebViews.
• Небезопасные разрешения, установленные приложением через AndroidManifest.xml досье.
• Переполнение буфера на основе целых чисел, кучи и стека.

Недостатки аутентификации​

Аутентификация является основной частью этой процедуры, но даже строгая проверка подлинности может быть нарушена из-за несовершенных функций управления учетными данными, включая смену пароля, забыл пароль, запомнить пароль, обновление учетной записи и другие связанные функции.

• Несоответствие аутентификации.
• Проверка подлинности между приложениями.
• Ошибки обработки сеанса.
• Недостатки аутентификации на стороне клиента.
• Отсутствие политики блокировки учетной записи.

Уязвимость бизнес-логики​

включены уязвимости с компонентами, более ориентированными на дизайн, а не на кодификацию. В него включены как хитрость выполнения, так и способность приложения работать поразительным образом, влияя на его рабочий процесс.

• Проверьте проверку на стороне сервера.
• Компрометация учетной записи администратора / пользователя.
• Проверьте метод обнаружения root / обойдите его.
• Аутентификация с использованием грубой силы.

Тестирование на проникновение Проверки на стороне сервера Android​

• Проверьте, нет ли внедрения на стороне клиента (XSS).
• Перечисление имени пользователя.
• SQL-инъекция
• Загрузка вредоносного файла.
• Проверьте все методы HTTP (PUT, DELETE и т. Д. Используйте burp intruder, используя подделку HTTP-глаголов).
• Проверьте управление сеансами (недостатки файлов cookie, переопределение сеанса, фиксация сеанса и т. Д.).
• Недостатки и обход реализации CAPTCHA.
• Запустите nikto, сканер dirb websever.

Откройте методологию оценки безопасности Android​

Элементы управления безопасностью Android структурированы в следующем разделе для справочной базы по оценке уязвимостей приложений Android.

• OASAM-INFO: Сбор информации: сбор информации и определение поверхности атаки.
• OASAM-CONF: управление конфигурацией и развертыванием: оценка конфигурации и развертывания.
• OASAM-AUTH: Аутентификация: оценка аутентификации.
• OASAM-CRYPT: Криптография: оценка использования криптографии.
• OASAM-LEAK: утечка информации: оценка утечки конфиденциальной информации.
• OASAM-DV: проверка данных: оценка управления вводом данных пользователем.
• OASAM-IS: Подмена намерений: оценка управления приемом намерений.
• OASAM-UIR: получение несанкционированного намерения: оценка разрешения намерений.
• Бизнес-логика OASAM-BL: оценка бизнес-логики приложения.