APP漏洞自动化扫描专业评测报告(上篇)

摘要:
为了了解中国移动APP在线漏洞扫描平台的发展,我进行了移动安全扫描平台评估和分析;2、 本章主要介绍要比较的扫描平台和要测试的APP样本。2.1对比平台扫描平台网站阿里桔安全漏洞扫描http:阿里桔安全、360APP漏洞扫描、金刚、百度和AppRisk进行详细对比分析;

一、前言

随着Android操作系统的快速发展,运行于Android之上的APP如雨后春笋般涌现。由于一些APP的开发者只注重APP业务功能的实现,对APP可能出现安全问题不够重视,使得APP存在较多的安全隐患。国内一些安全厂商为这些开发者提供了各种各样的安全服务,包括APP的加固、安全漏洞分析等。

目前在业界有很多自动化检测APP安全性的在线扫描平台。为了了解目前国内移动APP在线漏洞扫描平台的发展情况,我进行了一次移动安全扫描平台的评测分析;主要从漏洞项对比、扫描能力对比以及扫描结果这三个方向来对比。

希望此次的调研结果可以为读者提供更加可靠的安全漏洞扫描服务建议。

二、分析对象

这一章主要介绍需要对比的扫描平台和需要测试的APP样本。

2.1 对比平台

扫描平台网址
阿里聚安全漏洞扫描http://jaq.alibaba.com/
360APP漏洞扫描http://dev.360.cn/mod/vulscan
腾讯金刚审计系统http://service.security.tencent.com/kingkong
百度移动云测试中心http://mtc.baidu.com/startTest/safe
AppRisk Scannerhttps://apprisk.newskysecurity.com
爱加密 
梆梆加固https://www.bangcle.com/
AppTest掌测http://www.appstest.cn/
TestIn测试平台www.testin.cn/
腾讯优测http://utest.qq.com/
爱内测http://www.ineice.com/
AppScanhttp://www-03.ibm.com/software/products/zh/appscan-mobile-analyzer
Fortify SCAhttp://www8.hp.com/us/en/software-solutions/application-security/

对上述扫描平台,我都上传APP进行了测试,简单比较它们的扫描结果。最后,综合检测结果、它们在漏洞扫描领域的知名度以及它们的用户数量,我选取表中前五个扫描平台,即阿里聚安全、360APP漏洞扫描、金刚、百度和AppRisk进行详细的对比分析;由于金刚和优测都是腾讯旗下的产品,所以我选择了专注于APP审计的金刚审计系统。

爱加密扫描速度很快,但整个漏洞扫描就是为其加密模块做铺垫,扫描项非常简单,没有实际的漏洞扫描,只是简单的字符串匹配,故扫描速度非常快。梆梆加密扫描速度也比较快,扫描内容比爱加密要丰富,一共14项,包含了一些高危漏洞的扫描,如与WebView相关的一些漏洞等,但是其漏洞扫描模块也是为了给自己的加固服务做铺垫,所以没有选取这两家。AppTest掌测测试成本太高,每次测试2999元起,所以没有对它进行详细分析。腾讯优测的扫描结果与金刚非常相似,但没有金刚详细;有时候扫描结果只有漏洞概述,没有漏洞的详细信息,也没有修复建议。爱内测的扫描结果非常简略,只判断是否存在漏洞,而不统计漏洞的个数以及漏洞位置。

AppScan和Fortify SCA是国外的扫描平台,分别属于IBM和惠普。我分析了它们的扫描结果,AppScan的免费版本检测结果没有多大的参考价值,重要的漏洞信息都没有显示,如果测试时间超过4个小时,则会中断扫描服务。Fortify SCA的扫描侧重Web应用程序,虽然也可以扫描Android程序,但扫描结果以Web漏洞为主,差强人意,而且在免费试用15天后,每测试一个APP需要花费2000美元,所以我没有详细分析这两个平台。

以下简单统计了各个平台的收费情况,如下表:

扫描平台是否收费备注
阿里聚安全漏洞扫描免费完全免费
360APP漏洞扫描免费完全免费
腾讯金刚审计系统免费完全免费
百度移动云测试中心9.9元/次新用户可以获得一张9元代金券,只能用百度钱包支付剩余的0.9元
AppRisk Scanner 不详普通账户可以测试2个app,随后可以通过可以通过邮件联系AppRisk升级账户
爱加密免费漏洞扫描主要为其加密服务做推广,扫描能力很差
梆梆加固免费漏洞扫描主要为其加密服务做推广,扫描能力较差
AppTest掌测2999元/次AppTest掌测还有其他测试服务,收费标准不同,安全测试是2999元/次
TestIn测试平台2000元/次安全扫描服务需要填写非常详细的申请表才有机会获得1次试用服务
腾讯优测 200元/次新用户免费使用一次。通过U币的形式付款,1U币=1元
爱内测免费爱内测免费版主要为其定制化检测做广告
AppScan 混合AppScan将用户分为免费账户和标准账户,免费账户的扫描结果简单;标准账户可以按次收费也可以按月收费
Fortify SCA2000美元/个新用户免费试用15天,超过15天后每测试一个APP需要2000美元,一年内可对同一个APP进行多次测试

2.2 测试样本

测试样本:

名称 版本
WiFi万能钥匙4.0.9
墨迹天气5.0916.02
新浪微博6.7.0
测试app
手机百度7.4

通过上传精心构造的包含各种漏洞的“测试APP”,测试它们的扫描能力,随后上传应用市场中下载量较大的应用程序进行实际测试。由于受时间和资源的限制,并未大规模上传应用进行测试,也只是详细对比了WiFi万能钥匙的扫描结果。因此扫描结果有些许的片面性,但总体反映各个扫描平台的检测能力。

三、总体能力对比

3.1 扫描时间对比

以下列表各个扫描平台扫描时间的对比,金刚只能检测50M以内的APP,所以没有新浪微博的检测时间,而百度每检测一次收费9.9元,而且没有记录扫描时间;受限于时间和经费,没有再次检测APP以获取扫描时间,单位:分。

 阿里聚安全360百度金刚Apkrisk
WiFi万能钥匙(5.38M)645813953
墨迹天气(14.9M)16125615774
手机百度(36.8M)212617107
新浪微博(53.2M)4511128

补充一下,时间的获取是以扫描界面内对应APP给出的或者是以收到扫描结束通知为依据的。可以看出,阿里聚安全和AppRisk的扫描时间与APP的大小成正比,而360和金刚没有明显的规律。当用户把APP投入阿里聚安全和AppRisk中扫描时,可以根据APP的大小预测大致的扫描时间;而投入到360和金刚时却无法预测大致的扫描时间。

3.2 漏洞项对比

360将许多类型相同的漏洞分成多个具体的漏洞,我将其合并一下(组件导出归为一类,文件读写归为一类,SQL注入归为一类)。

以下是具体漏洞个数对比:

漏洞类型阿里聚安全360金刚百度Apkrisk
WebView组件远程代码执行漏洞
WebView绕过证书校验漏洞
WebView明文存储密码风险  
WebView组件系统隐藏接口漏洞
组件导出风险 
存在可以被恶意访问的表单    
存在外部可访问的表单    
本地代码执行漏洞    
本地SQL注入漏洞   
私有文件遍历漏洞   
getDir任意读写    
通用签名漏洞    
安全加固风险    
不安全的反射    
META-INF目录存在敏感文件信息    
ContentProvider文件跨域访问    
Native动态调试    
固定端口监听风险    
Zip文件目录遍历漏洞    
密钥硬编码   
广播信息泄露风险   
Url用户敏感信息泄露    
Uri用户敏感信息泄露    
外部URL可控的WebView    
KeyStore风险   
尝试使用root权限    
Intent敏感数据泄露风险   
运行其他可执行程序风险    
第三方库检测    
日志泄露风险 
Dex文件动态加载风险  
数据库全局读写漏洞   
WebView File域同源策略绕过  
Fragment注入漏洞  
初始化IVParameterSpec函数出错 
PendigIntent误用风险  
用户自定义权限滥用风险 
SharedPrefs任意读写
源码泄露漏洞(混淆率等)    
App存在隐式意图调用  
加密哈希函数漏洞MD5    
加密哈希函数漏洞SHA-1    
证书弱校验
主机名弱校验 
随机数加密破解漏洞
Intent Scheme URL漏洞  
本地拒绝服务   
全局文件可读可写
强制类型转换本地拒绝服务漏洞   
AES/DES弱加密 
RSA弱加密风险   
调试开关开启风险
备份功能开启风险
中间人攻击 

从上表可以看出,五个产品相同的扫描项有9种,其中四个产品相同的扫描项有7种。总的来说,这五个产品基本覆盖了目前Android应用程序可能出现的所有漏洞。

总体覆盖量排名:阿里聚安全(35个)>360(31个)>百度(26个)>金刚(23个)>Apkrisk(20个)

3.3 扫描能力对比

最后我用自己编写的测试APP测试各个扫描平台的扫描能力。这些扫描能力主要分为静态检测能力和动态检测能力。静态检测能力包括检测隐藏dex、过程间分析、正向分析、逆向分析;动态测试主要是指测试拒绝服务漏洞的能力,拒绝服务漏洞又可以划分为:空Intent引起的拒绝服务,强制类型转换引起的拒绝服务以及序列化对象导致的拒绝服务。由于这些检测能力决定了扫描器扫描结果的精度和准度,因此我详细分析了各个扫描平台的扫描能力。

由于内容太长,我将扫描能力和扫描结果单独作为下篇分享出来,敬请关注!

免责声明:文章转载自《APP漏洞自动化扫描专业评测报告(上篇)》仅用于学习参考。如对内容有疑问,请及时联系本站处理。

上篇MVC 过滤器的使用Delphi 匿名函数的几个实际应用(二)下篇

宿迁高防,2C2G15M,22元/月;香港BGP,2C5G5M,25元/月 雨云优惠码:MjYwNzM=

相关文章

更新!ArcMap和ArcGIS Pro加载百度影像地图

上一篇文章写了 ArcMap和ArcGIS Pro中加载百度地图 的方法   一次没有把百度影像加载的功能开发出来,趁这几天有空整理了下 加载方法按照上次那篇文章操作。 百度影像wmts加载地址:http://demo.cxgis.com/wmts/baidu/raster?request=getcapabilities 百度影像注记wmts加载地址:ht...

IDEA及IDEA汉化包

IDEA 官网:http://www.jetbrains.com/idea/download/#section=windows IDEA社区版(百度云):http://pan.baidu.com/s/1hrVlZ96 密码:wivf IDEA汉化包(百度云):链接:http://pan.baidu.com/s/1dF43YST 密码:59fw...

关于抓取百度数据的问题

1、在抓取百度数据时发现一个问题,如果直接抓取,抓取后的Html内搜索结果会比直接百度显示页面少,研究后发现应该是百度Cookies问题,百度自身访问的时候是构造了一个BAIDUID 如果我把BAIDUID这个Cookies删除,那结果为1条: 而BAIDUIDCookies存在情况下访问则搜索结果有5条: 解决办法就是构造Cookies!...

以Docker容器的形式运行GVM-11

OpenVAS(Open Vulnerability Assessment System)是在nessus基础上发展起来的一个开源的漏洞扫描程序,其核心部件是一套漏洞测试程序,可以检测远程系统和应用程序中的安全问题。 (一)在ubuntu 18系统中安装docker apt install docker.io  //在线安装docker systemctl...

Windows SMBv3 CVE-2020-0796 漏洞分析和l漏洞复现

0x00 漏洞描述 漏洞公告显示,SMB 3.1.1协议中处理压缩消息时,对其中数据没有经过安全检查,直接使用会引发内存破坏漏洞,可能被攻击者利用远程执行任意代码。攻击者利用该漏洞无须权限即可实现远程代码执行,受黑客攻击的目标系统只需开机在线即可能被入侵。 0x01 漏洞响应版本 Windows 10 1903版本(用于基于x32的系统) Windows...

IIS6目录解析漏洞的实验

​​​​​​​​​​Windows 打开IIS管理器的方式 这个是网站IIS网站目录右击默认网站中的属性,可以查看网站的属性,比如网站根目录,或者是端口这个是网站的目录C:www,有三个文件分别是file文件夹,index.asp,upload.asp。其中Index.asp是上传文件的地方,upload.asp是处理上传文件,最后一个file文件夹是存放上...