學(xué)生項(xiàng)目匯報(bào) 移動(dòng)學(xué)習(xí)系統(tǒng)安全風(fēng)險(xiǎn)防范報(bào)告

移動(dòng)學(xué)習(xí)系統(tǒng)安全風(fēng)險(xiǎn)防范報(bào)告2022年10月阮梓墨小組人員分工程晨——負(fù)責(zé)前期尋找材料李雯雯——負(fù)責(zé)外聯(lián)（采訪和查閱資料）何雨軒——負(fù)責(zé)總結(jié)報(bào)告文字版阮梓墨——負(fù)責(zé)后期整理、形成報(bào)告小組討論采訪同學(xué)目錄02.安全風(fēng)險(xiǎn)分析03.防范對(duì)策01.引言04.結(jié)束語1.引言隨著技術(shù)的發(fā)展，移動(dòng)學(xué)習(xí)逐步走進(jìn)我們的學(xué)習(xí)生活。特別是2020年疫情開始后，移動(dòng)學(xué)習(xí)能夠讓我們實(shí)現(xiàn)隨時(shí)隨地的學(xué)習(xí)，更具需求實(shí)現(xiàn)學(xué)生個(gè)性化的學(xué)習(xí)，也能保證居家時(shí)學(xué)習(xí)的有效性。老師向我們介紹微信小管家，釘釘非常實(shí)用，在平時(shí)多次嘗試使用。移動(dòng)學(xué)習(xí)是一種在移動(dòng)設(shè)備幫助下的能夠在任何時(shí)間、任何地點(diǎn)發(fā)生的學(xué)習(xí)，移動(dòng)學(xué)習(xí)所使用的移動(dòng)計(jì)算設(shè)備必須能夠有效地呈現(xiàn)學(xué)習(xí)內(nèi)容并且提供教師與學(xué)習(xí)者之間的雙向交流。2.安全風(fēng)險(xiǎn)分析主要為移動(dòng)終端插入廣告面臨的風(fēng)險(xiǎn)，包括App反編譯、App二次打包、組件導(dǎo)出、WebView漏洞、鍵盤安盜版應(yīng)用插入病毒后臺(tái)偷跑流量全、屏幕截屏、數(shù)據(jù)安全、界面劫持、數(shù)據(jù)客戶插入惡意代碼修改App功能備份、Debug調(diào)試等。移動(dòng)終端操作系統(tǒng)應(yīng)的漏洞缺陷眾多，導(dǎo)致安卓(Andriod)、釣魚應(yīng)用竊取用戶敏感信息IOS等主流操作系統(tǒng)會(huì)經(jīng)常更新，而移動(dòng)風(fēng)險(xiǎn)攻擊通過App漏洞攻擊后臺(tái),一般無法及時(shí)修改更新，經(jīng)常出現(xiàn)服務(wù)器安全漏洞。同時(shí)，移動(dòng)終端屬于個(gè)人，在瀏覽網(wǎng)頁下載應(yīng)用的過程中，可能不知不覺就安裝了盜版應(yīng)用或者釣魚應(yīng)用，被插入了各種廣告甚至病毒木馬，這些軟件都是在后臺(tái)進(jìn)行數(shù)據(jù)信息的竊取竊聽，用戶毫不知情。（1）客戶端安全風(fēng)險(xiǎn)2.安全風(fēng)險(xiǎn)分析主要為智能手機(jī)客戶端與服務(wù)器端交互所面臨的風(fēng)險(xiǎn)，包括數(shù)據(jù)安全性缺乏保密性、中間人攻擊、數(shù)據(jù)包可被篡改及重放等。一般使用手機(jī)App應(yīng)用時(shí)，用戶習(xí)慣設(shè)置自動(dòng)登錄，這樣一旦手機(jī)被他人使用或者丟失等情況發(fā)生時(shí)，就有可能造成數(shù)據(jù)或機(jī)密信息泄露。目前雖然很多App使用了https通信方式，但是只是對(duì)通信信道進(jìn)行了加密，雖然可以防止監(jiān)聽數(shù)據(jù)的風(fēng)險(xiǎn)，但是沒有對(duì)SSL證書的有效性做驗(yàn)證，無法防止中間人攔截代理方式，通過中間人攻擊劫持，可以讓采用https通信的數(shù)據(jù)暴露無遺，從而輕易獲取手機(jī)用戶的明文通信信息。（2）通信過程安全風(fēng)險(xiǎn)2.安全風(fēng)險(xiǎn)分析主要來自傳統(tǒng)業(yè)務(wù)系統(tǒng)架構(gòu)面臨的安全風(fēng)險(xiǎn)，主要有來自Web層面安全風(fēng)險(xiǎn)、數(shù)據(jù)庫層面安全風(fēng)險(xiǎn)、安全策略風(fēng)險(xiǎn)、系統(tǒng)層安全風(fēng)險(xiǎn)等。無論是移動(dòng)互聯(lián)網(wǎng)系統(tǒng)還是傳統(tǒng)業(yè)務(wù)系統(tǒng)，大多采用Web方式向客戶端提供服務(wù)，Web應(yīng)用安全漏洞層出不窮，例如XSS跨站腳本攻擊漏洞、SQLInject注入漏洞、惡意代碼上傳漏洞、Cookie注入漏洞等。大部分移動(dòng)應(yīng)用系統(tǒng)往往架設(shè)在Linux或者Windows操作系統(tǒng)上，采用WebSphere、Tomcat、Apache等中間件和Oracle、SQLServer等數(shù)據(jù)庫，賴以運(yùn)轉(zhuǎn)的基礎(chǔ)軟件可能不時(shí)爆出一些系統(tǒng)漏洞，而每個(gè)漏洞都可能被攻擊者所利用，造成賬號(hào)失竊或數(shù)據(jù)篡改、數(shù)據(jù)泄露等。同時(shí)，應(yīng)用設(shè)置的安全策略以及服務(wù)器設(shè)置的安全策略的不合適，都有可能造成安全風(fēng)險(xiǎn)。（3）服務(wù)端安全風(fēng)險(xiǎn)3.防范對(duì)策（1）客戶端防護(hù)部分檢查方法：可以先利用反編譯工具和二次打包工具對(duì)App進(jìn)行反編譯和二次打包，查看是否成功。采用工具檢測組件是否存在導(dǎo)出風(fēng)險(xiǎn)。檢查addJavascriptInterface接口、searchBox-JavaBridge_對(duì)象等，檢查是否存在WebView漏洞。通過觀察App在輸入密碼的地方是否會(huì)彈出自定義的軟鍵盤。通過連續(xù)截圖，查看是否可以捕捉到密碼輸入框的密碼。查看AndroidManifest.xml文件中是否有allowBackup，如果沒有則allowBackup屬性值，默認(rèn)allowBackup值為True，則默認(rèn)為可以備份應(yīng)用數(shù)據(jù)，存在安全風(fēng)險(xiǎn)。建議修復(fù)方法：采用加密和混淆技術(shù)達(dá)到反編譯保護(hù)。獲取二次打包后APK的簽名與正確的APK簽名做對(duì)比，判斷APK程序是否進(jìn)行過二次打包。開發(fā)自定義軟鍵盤而不是使用系統(tǒng)軟件盤以防止鍵盤劫持。建議客戶端針對(duì)第三方或系統(tǒng)截屏編寫抵抗邏輯。刪除不必要的接口和對(duì)象。把AndroidManifest.xml文件中allowBackup屬性值設(shè)置為false.軟件防護(hù)的攻與防一直都不對(duì)等的，攻擊者只需要找到薄弱的點(diǎn)即可，而防御者則需要做全面的防護(hù)，盡量做到不存在防御短板。加上AndroidApp開源特性，以及各種成熟的反編譯工具，即使軟件開發(fā)人員對(duì)App進(jìn)行了混淆和加密，還是會(huì)被逆向出代碼邏輯和跳轉(zhuǎn)，有了這些信息即使因?yàn)榛煜a無法拿到完整的源代碼，但還是可以被黑客破解實(shí)現(xiàn)攻擊訴求。目前市面上較成熟的客戶端防護(hù)方案為通過代碼加殼來實(shí)現(xiàn)對(duì)App源代碼高強(qiáng)度的保護(hù)。App加殼技術(shù)經(jīng)歷了多次技術(shù)迭代，從最早的靜態(tài)加密殼，到后來的動(dòng)態(tài)保護(hù)殼，目前最先進(jìn)且脫殼難度最高的是虛擬化執(zhí)行殼。3.防范對(duì)策（2）通信過程防護(hù)

部分檢查方法：通過抓包工具（例如burpsuite、fiddler)抓取通信信息，看是否進(jìn)行加密通信。通過抓包看手機(jī)端程序是否運(yùn)行正常，如果通過代理方式抓包，手機(jī)App自動(dòng)強(qiáng)制退出，說明手機(jī)App有做證書校驗(yàn)。測試客戶端訪問的URL是否僅能由手機(jī)客戶端訪問，利用截包工具獲取URL，能用瀏覽器打開該URL。建議修復(fù)方法：使用https進(jìn)行加密通信。采用證書強(qiáng)校驗(yàn)或弱校驗(yàn)，強(qiáng)校驗(yàn)就是在手機(jī)端先預(yù)埋好服務(wù)端的證書，當(dāng)手機(jī)端與服務(wù)端通信時(shí)獲取證書，并且與手機(jī)本地預(yù)埋的服務(wù)端證書作對(duì)比，一旦不一致，則認(rèn)為遭到了中間人劫持攻擊，自動(dòng)斷開與服務(wù)端的通信；弱校驗(yàn)則是在手機(jī)端校驗(yàn)證書的域名和手機(jī)真實(shí)訪問的域名是否一致、證書頒發(fā)機(jī)構(gòu)等信息。建議服務(wù)器進(jìn)行相應(yīng)的訪問控制，控制對(duì)應(yīng)頁面僅能通過手機(jī)客戶端訪問。同時(shí)進(jìn)行頁面訪問控制，防止繞過登陸直接訪問頁面的非法訪問。3.防范對(duì)策（3）服務(wù)端防護(hù)

部分檢查方法：利用工具或人工，對(duì)Web應(yīng)用進(jìn)行SQL注入、跨站腳本、上傳漏洞、數(shù)據(jù)庫泄露、弱口令、網(wǎng)頁掛馬等各種已知漏洞進(jìn)行檢測和驗(yàn)證。審查主機(jī)安全，查看審計(jì)日志等。查看應(yīng)用是否設(shè)置正確的安全策略，如：是否可以設(shè)置弱密碼、驗(yàn)證碼是否檢測使用次數(shù)、會(huì)話超時(shí)時(shí)間設(shè)置是否合理、安全退出機(jī)制是否合理等。建議修復(fù)方法：對(duì)存在的Web漏洞進(jìn)行源代碼的相應(yīng)修復(fù)，針對(duì)主機(jī)及時(shí)打補(bǔ)丁，及時(shí)的調(diào)整WFA和IPS防護(hù)設(shè)備策略，應(yīng)用程序設(shè)置相應(yīng)的安全策略，如強(qiáng)制使用強(qiáng)密碼、驗(yàn)證碼一次有效、會(huì)話設(shè)置合理超時(shí)時(shí)間、用戶退出后及時(shí)清除服務(wù)器上的sessi